el cliente pregunta si estamos asegurados contra daños cibernéticos

El ciberseguro en sí no es una medida NIS2

Un ciberseguro no figura en la lista del artículo 21, apartado 2 de la Directiva NIS2. Las diez medidas de ese artículo se refieren al análisis de riesgos, la gestión de incidentes, la continuidad empresarial, la seguridad de la cadena de suministro, la política de acceso y similares — una póliza de seguros no es una medida de seguridad sino una forma de cubrir los daños financieros residuales. Sin embargo, la pregunta reaparece con frecuencia en cuestionarios de clientes y aseguradoras, porque una póliza dice algo sobre la madurez con que una empresa gestiona el riesgo. En ISO/IEC 27001 ocurre lo mismo: el Anexo A no contiene una medida de control "seguro", pero la gestión del riesgo — del cual el seguro es una forma reconocida junto con la reducción, la evitación y la aceptación — sí forma parte del sistema de gestión.

Así pues, que debas estar asegurado no depende de las diez medidas en sí, sino de lo que tu cliente quiera saber en la práctica: ¿tienes cobertura financiera si algo sale mal, o tienes especialmente lo básico en orden? Estas dos preguntas se formulan por separado en la mayoría de las listas. Reconoce el patrón: si la pregunta está en un bloque sobre gestión del riesgo, a menudo se pide la justificación de la política de análisis de riesgos y seguridad de sistemas de información. Si la pregunta está separada, como línea independiente sobre resistencia financiera, basta una respuesta fáctica sobre la póliza en sí — si no la tienes, "no" es la respuesta correcta, aunque parezca una carencia.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva NIS2 enumera las diez medidas obligatorias de forma limitativa; un seguro no figura en la lista, ni siquiera implícitamente bajo continuidad — se refiere a copias de seguridad y medidas de emergencia para restaurar la prestación del servicio, no a la compensación financiera posterior. En el Anexo A de ISO/IEC 27001, la gestión del riesgo es sin embargo una parte explícita del sistema de gestión, y el seguro es dentro de éste una opción de tratamiento reconocida junto con medidas técnicas y organizativas. La Ley de Ciberseguridad, que transpone la NIS2 en los Países Bajos y entra en vigor el 15 de agosto de 2026, reitera las diez medidas de la Directiva sin añadir una obligación de aseguramiento.