no tenemos CISO, a quién pongo cuando pregunta quién es responsable de seguridad

No se requiere título de función, pero sí un rol identificable

El artículo 21 apartado 2 NIS2 no exige un CISO. En ningún lugar se establece que un título de función sea obligatorio — la Directiva exige "medidas técnicas, operacionales y organizativas apropiadas y proporcionadas", y gobernanza por encima de eso. Lo que debes poder indicar es quién decide internamente sobre seguridad de la información y quién lo comunica a la dirección. En una empresa más pequeña, suele ser el propio director, un responsable de TI con seguridad como tarea parcial, o un tercero contratado de forma estructurada. Indica ese rol con nombre o función, no con "nadie" ni con un título que no existe.

Lo que debes tener en cuenta: al cliente no le importa el título, sino la trazabilidad. ¿Puedes demostrar que hay alguien responsable de política para el análisis de riesgos y la seguridad de sistemas de información, y que esa misma persona u otra designada es también el punto de contacto en incidentes de seguridad? Ese es el documento que normalmente se solicita: un organigrama, una matriz RACI, o simplemente un párrafo en el documento de política que especifique el rol y las competencias. Si no lo has documentado, entonces un "no" con una aclaración de que la dirección asume esta responsabilidad es una respuesta más honesta que una función inventada.

De donde se deriva esto: artículo 21 apartado 2 letra a NIS2 y Anexo A 5.2 ISO 27001

El artículo 21 apartado 2 letra a menciona "política sobre análisis de riesgos y seguridad de los sistemas de información" como la primera de las diez medidas, y la gobernanza es una parte implícita: sin una responsable designado la política no es ejecutable ni verificable. ISO/IEC 27001 lo hace explícito en el Anexo A 5.2, "funciones y responsabilidades de seguridad de la información", donde se exige un rol pero no un título específico. Si cumplimentas esta lista sin certificado ISO, es aún más importante que la distribución de roles conste por escrito — eso te ayuda con la pregunta de si la empresa está certificada en ISO 27001, donde de otro modo no tienes nada que mostrar.