¿debo informar de un incidente de seguridad del año pasado en el cuestionario

Un incidente antiguo generalmente sí debe incluirse en la respuesta

Sí, en la mayoría de los casos también informas de un incidente del año pasado ahora, si la pregunta en la lista no se limita explícitamente a un período determinado. Las listas de preguntas suelen preguntar por la situación en general: ¿ha ocurrido un incidente y cómo se ha manejado? Un pequeño incidente del año pasado entra en esa categoría, incluso si ya se ha resuelto y no tiene más consecuencias. Si hay un período en la pregunta — «en los últimos doce meses» o «este año calendario» — entonces eso es decisivo, y solo incluyes lo que ocurrió dentro de ese período.

A menudo es más importante cómo respondiste al incidente que el incidente en sí. Un cliente que pregunta por incidentes quiere saber en realidad si hay un proceso detrás: ¿se detectó, se resolvió, se aprendió de él? Esto se alinea con un procedimiento para el tratamiento de incidentes de ciberseguridad. Si tienes un procedimiento de este tipo y se ha seguido, entonces un pequeño incidente del año pasado no es un problema para informar — de hecho, muestra que el proceso funciona. Si dudas sobre si los detalles son demasiado sensibles para compartir, utiliza el botón de confidencialidad en la respuesta en lugar de modificar la respuesta en sí.

Por qué esto está separado de la obligación de notificación en la Ley de Ciberseguridad

Esta pregunta en una lista de preguntas es diferente de la obligación legal de notificación a una autoridad supervisora. El artículo 21, apartado 2 de la Directiva NIS2 menciona el tratamiento de incidentes como una de las diez medidas obligatorias para entidades que caen bajo la directiva; la Ley de Ciberseguridad lo desarrolla como la transposición holandesa, con una obligación de notificación a la autoridad competente. Si esa obligación de notificación se aplica a la empresa depende de si la empresa misma cae bajo la directiva — eso se puede comprobar en la pregunta de si la empresa cae bajo la Directiva NIS2. La pregunta en una lista de preguntas de cliente es independiente de esto: no pregunta por una notificación legal, sino por transparencia hacia el cliente sobre lo maduro que es el proceso de incidentes.