¿puedo adjuntar un certificado o documento de política como archivo adjunto a una respuesta

Añadir documentos de prueba suele ser posible

Sí, en casi todos los portales puedes cargar un anexo junto con una respuesta: un certificado, un documento de política o una captura de pantalla de una configuración del sistema. Ante una pregunta sobre ISO/IEC 27001, a menudo se trata del propio certificado, posiblemente acompañado de la declaración de alcance, para que el cliente vea qué partes de la organización están cubiertas. Ante una pregunta que se remonta a las diez medidas del artículo 21, apartado 2, de la Directiva NIS2, normalmente no hay certificado — el contratante suele solicitar un documento de política, como un plan de respuesta ante incidentes o una política de acceso. Nuestro expediente de la cadena vincula el documento de prueba a la respuesta, pero no evaluamos si ese documento específico cumple con lo que el contratante quiere ver.

Si no tienes el documento solicitado, normalmente hay dos caminos: aclarar la respuesta en texto libre ("la política está en desarrollo, lista en el tercer trimestre") o dejar la respuesta como "no" o "n.a.". Qué camino es el adecuado depende de lo que el contratante hace con la pregunta — eso solo lo lees en el portal del cliente, no en nosotros. Para preguntas relacionadas con la continuidad, por ejemplo si existe un plan para las operaciones comerciales en caso de una perturbación grave, se aplica la misma lógica: un anexo es un respaldo sólido, pero no es una parte obligatoria de la respuesta en sí.

De dónde viene esto: EFRAG VSME y artículo 21 de NIS2

El módulo básico VSME de EFRAG se ha establecido como estándar de información voluntario para empresas pymes no cotizadas en bolsa e indica por cada sección qué documentación es habitual, sin hacer obligatorio un anexo. El artículo 21, apartado 2, de la Directiva (UE) 2022/2555 (NIS2) menciona las diez medidas sobre las que un contratante puede hacer más preguntas, pero no prescribe una forma de prueba — cada contratante decide eso en su propio portal. Para una pregunta sobre seguridad de la información, la respuesta también puede depender de en qué países tiene establecimientos la empresa, porque algunos contratantes esperan un documento de prueba separado por establecimiento. Nuestro sistema conserva el documento en el expediente para que pueda reutilizarse en la siguiente lista; qué hay que hacer exactamente con él en el portal del cliente queda en manos de ese cliente.