preguntan quién tiene acceso a sus datos

Política de acceso, no una lista de nombres

El cliente generalmente no quiere saber aquí qué persona individual inicia sesión, sino si existe un sistema que regula quién tiene acceso a dónde. Eso corresponde a la gestión de acceso: quién tiene acceso a qué sistemas y datos, en función de qué rol, y cómo se asigna y se revoca. La respuesta consta pues de dos partes: la política (cómo se asigna, revisa y revoca el acceso en caso de cese de la relación laboral) y la práctica (se trabaja con derechos basados en roles, principio de mínimo privilegio, revisión periódica de quién sigue teniendo acceso).

Si no existe un documento de política de acceso independiente pero la práctica está en orden — por ejemplo, roles en un sistema, un proceso establecido en la incorporación y cese de empleados — eso a menudo es suficiente para responder "sí", siempre que sea realmente demostrable. Si faltan ambas cosas, entonces "no" es la respuesta honesta; no se propone una respuesta a una pregunta sobre esto como "sí" sin que haya una fuente en el expediente de la cadena. Las preguntas relacionadas en la misma lista suelen referirse a autenticación multifactor para sistemas empresariales y sobre la política de análisis de riesgos y seguridad de sistemas de información — esas dos cosas van juntas conceptualmente, porque el acceso es generalmente una de las medidas de control que resultan del análisis de riesgos.

Trazable al artículo 21 apartado 2 y Anexo A

La gestión de acceso es una de las diez medidas del artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555): menciona explícitamente la política de control de acceso y la gestión de activos empresariales como parte obligatoria de la gestión de riesgos. En ISO/IEC 27001 esto se refleja en las medidas de control del Anexo A, bajo la categoría control de acceso. Los clientes que se verán sujetos a la Ley de Ciberseguridad — la transposición holandesa de NIS2, que entra en vigor el 15 de agosto de 2026 — presentan por lo tanto esta pregunta cada vez más de forma estándar a sus proveedores, incluso si ellos mismos aún no han sido designados como entidad conforme a la Directiva.