cómo indico que los empleados pueden informar de un incidente de seguridad

La ruta de notificación interna es la prueba, no una intención

Esta pregunta se refiere al canal de notificación en sí: si los empleados pueden notificar un incidente internamente, y si eso sucede realmente. Esto es diferente de la pregunta de si la organización registra o gestiona incidentes — eso corresponde a el procedimiento para el tratamiento de incidentes de seguridad. Aquí el cliente quiere saber específicamente si existe una vía de fácil acceso y conocida a través de la cual un empleado puede plantear algo: una dirección de correo, un sistema de tickets, un nombre en la intranet. Por lo tanto, la prueba no es el procedimiento en su conjunto, sino el canal concreto más algo que demuestre que los empleados conocen ese canal — una captura de pantalla de la intranet, un párrafo del documento de incorporación, o una diapositiva de capacitación.

Si no lo has documentado por separado, entonces "no" o "parcialmente" es la respuesta honesta, incluso si existe un procedimiento de incidentes que solo utiliza el equipo de TI. No rellenes "sí" basándote solo en el procedimiento; la pregunta evalúa conciencia y accesibilidad, no solo proceso. Si existe capacitación en conciencia que trata sobre el canal de notificación, eso suele ser la prueba más sólida — verifica eso contra la capacitación en prácticas básicas de ciberhigiene, porque esas dos respuestas deben ser mutuamente coherentes. Si no coinciden, eso se detectará más rápidamente en una muestra de auditoría que una única prueba faltante.

Procedencia: artículo 21, apartado 2 y Anexo A

Este requisito proviene del artículo 21, apartado 2 de la Directiva NIS2, donde la gestión de incidentes es una de las diez medidas obligatorias; la Ley de Ciberseguridad lo transpone al derecho holandés a partir del 15 de agosto de 2026. ISO/IEC 27001 lo desarrolla en el Anexo A hasta el nivel de canales de notificación y conciencia, y los clientes que trabajan con una lista de preguntas ISO a menudo preguntan literalmente por ese punto de control del Anexo A. Si la organización está certificada, esta prueba generalmente ya está disponible — véase el certificado ISO 27001 para cómo hacerlo demostrable.