¿debemos informar a nuestro cliente de un incidente de seguridad del año pasado

Un incidente antiguo pertenece al cuestionario, no a un canal de notificación independiente

Sí, un incidente de seguridad del año pasado se rellena si la pregunta trata sobre incidentes o sobre su gestión — incluso si el incidente en sí ya está cerrado. La pregunta en la mayoría de cuestionarios de clientes no trata sobre una amenaza actual, sino sobre si existe un procedimiento y si funciona. Un incidente gestionado del año pasado es más bien una prueba que un riesgo: demuestra que el procedimiento para el tratamiento de incidentes de seguridad en la práctica se ha llevado a cabo, desde la detección hasta el cierre.

Por lo tanto, esto es diferente de una obligación legal de notificación ante una autoridad de supervisión — que tiene sus propios plazos y sus propios destinatarios, y esos plazos ya han vencido si el incidente es del año pasado. El cuestionario de tu cliente no es un punto de notificación; es una pregunta de rendición de cuentas. Respóndela sobre la base de lo que consta ahora: ¿existe un procedimiento, se ha aplicado, se han implementado mejoras como resultado del incidente? Si falta lo último, entonces «no» o «parcialmente» es una respuesta tan válida como «sí» — siempre que sea coherente con lo que consta en el expediente de la cadena.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2, de la Directiva NIS2 menciona la gestión de incidentes como una de las diez medidas obligatorias, junto con, entre otros, análisis de riesgos y la protección de los sistemas de información y política de continuidad. ISO/IEC 27001 lo desarrolla en el Anexo A con medidas de control que requieren registro, respuesta y evaluación de incidentes — un expediente cerrado del año pasado encaja perfectamente como material de ejemplo. La Ley de Ciberseguridad, la transposición holandesa de la NIS2, entra en vigor el 15 de agosto de 2026 y regula la obligación legal de notificación a las autoridades; ese es un proceso diferente de la rendición de cuentas que un cliente solicita en su propio cuestionario.