¿Tiene la empresa una política para el análisis de riesgos y la protección de los sistemas de información?

La política de análisis de riesgos es la base de las otras nueve medidas

Sí, en la mayoría de los casos hay algo que decir al respecto, ya que el análisis de riesgos se menciona como la primera medida en el artículo 21, apartado 2 de la Directiva NIS2 y es, por lo tanto, el fundamento sobre el que descansa el resto de la política. La pregunta no solo prueba si existe un documento sobre "política de riesgos", sino si la empresa examina sistemáticamente qué sistemas de información y procesos son vulnerables y qué medidas se oponen a ellos. Un cliente que hace esta pregunta quiere saber si la seguridad se ha establecido sobre la base de una evaluación de riesgos o de forma ad hoc.

En la práctica, este campo suele ser difícil de responder con un simple sí, porque el análisis de riesgos generalmente no es un documento de política independiente, sino que está entrelazado en otros componentes: se ha fijado la política de acceso, incluida la gestión de activos empresariales, ¿hay un proceso para identificar y remediar vulnerabilidades, y se evalúa periódicamente la eficacia de las medidas de seguridad. Sin un documento subyacente que describa la evaluación de riesgos —incluso si es un simple resumen interno— un "sí" aquí no se puede justificar. Si falta esa parte, entonces "no" o "parcialmente" es la respuesta honesta, posiblemente con una aclaración sobre qué partes ya existen.

Dónde se deduce exactamente del artículo 21, apartado 2

El artículo 21, apartado 2, letra a) de la Directiva (UE) 2022/2555 menciona "la política de análisis de riesgos y seguridad de sistemas de información" como la primera de las diez medidas obligatorias y es, por lo tanto, la fuente más directa para esta pregunta. La directiva en sí no especifica cómo debe establecerse un análisis de riesgos —ese detalle se deja a las reglas nacionales de transposición o a normas como ISO 27001, que por cierto es algo diferente de esta pregunta de política; véase ¿está la empresa certificada en ISO 27001. Quien quiera verificar si la empresa misma ya está sujeta a la directiva, lo encontrará en ¿Está la empresa sujeta a la Directiva NIS2 o a su transposición nacional.