el cuestionario pregunta si la dirección está involucrada en la ciberseguridad

La implicación de la junta directiva es una obligación separada de NIS2, además de las diez medidas

Esta pregunta no se refiere a técnica sino a gobernanza: ¿está la dirección personalmente enganchada en ciberseguridad, o se ha delegado completamente en IT? Bajo el artículo 21 apartado 2 de NIS2 figuran las diez medidas en sí, pero el artículo 20 de la Directiva obliga además a que los órganos de dirección aprueben las medidas de gestión de riesgos y supervisen su ejecución, y a que los miembros de la junta reciban formación para poder evaluar los riesgos cibernéticos. Por lo tanto, es un punto separado del cuestionario: no «qué medidas tiene», sino «¿sabe y aprueba la dirección esto?».

Como prueba suele contar un fragmento de acta en el que la dirección haya establecido o evaluado la política de seguridad, un organigrama del que se desprendan líneas de información hacia la dirección, o un punto de agenda de una reunión periódica de dirección sobre riesgos cibernéticos. Si falta, entonces «no» es la respuesta honesta aquí — un proveedor que lo rellena sin documentación corre el riesgo de que el cliente vuelva sobre ello más tarde. Esta pregunta suele estar relacionada con la pregunta se comprueba periódicamente la eficacia de las medidas de seguridad, ya que la comprobación sin seguimiento de la dirección es una respuesta incompleta para un cliente. También es relevante si su empresa cae dentro del ámbito de aplicación de la Directiva NIS2, porque entonces esto no es solo una pregunta de su cliente sino una obligación legal propia a partir del 15 de agosto de 2026, cuando entre en vigor la Ley de Ciberseguridad.

Origen de esto: artículo 20 junto al artículo 21 de NIS2

El artículo 20 de la Directiva (UE) 2022/2555 regula la responsabilidad e implicación de los órganos de dirección, aparte de las diez medidas sustantivas del artículo 21 apartado 2; la ISO/IEC 27001 no tiene un equivalente literal en el Anexo A, pero sí requiere a través de los requisitos fundamentales de la norma (cláusula 5, liderazgo) una implicación demostrable de la dirección, lo que a menudo se presenta como un documento separado además de las medidas del Anexo A.