¿debo enviar nuestro plan de respuesta como documento al cliente

Generalmente no todo el documento, sí los datos clave

No, en la mayoría de los casos no es necesario adjuntar el plan completo de respuesta ante incidentes. Los portales que preguntan sobre respuesta ante incidentes —parte de el procedimiento para el tratamiento de incidentes de seguridad — generalmente quieren saber o si existe un procedimiento, quién es responsable y en cuánto tiempo se escala y se notifica un incidente. Son preguntas que respondes con un sí/no y una breve explicación, no con el manual completo incluyendo árboles de contactos y nombres de sistemas.

Hay dos situaciones en las que sí se solicita un archivo adjunto: si el cliente tiene explícitamente "cargue su plan de respuesta ante incidentes" como tipo de pregunta, o si se trata de una lista de auditoría que requiere documentos de prueba obligatoriamente. En ese caso, una versión resumida —una página con alcance, funciones, plazos de notificación y rutas de escalada, sin detalles técnicos sensibles— suele ser suficiente. Si se necesita un plan completo o un resumen, se deduce del texto de la pregunta; si dice "describa" en lugar de "cargue", una respuesta textual es más adecuada que un archivo adjunto.

Por qué existe esta distinción: artículo 21 apartado 2 NIS2

El artículo 21 apartado 2 de la directiva NIS2 menciona la gestión de incidentes como una de las diez medidas obligatorias, pero no prescribe una forma de documento —la directiva exige un proceso, no un formato de carga específico. ISO/IEC 27001 Anexo A lo desarrolla en controles sobre respuesta y recuperación, y allí ves el mismo patrón: la norma evalúa si el proceso existe y funciona, no si existe un único documento bien definido llamado "plan de respuesta ante incidentes". Esto explica por qué la mayoría de los portales se contentan con una descripción en el campo de respuesta, y por qué un archivo adjunto solo es necesario si la pregunta lo exige explícitamente. Si aún no has documentado el proceso, a menudo es más fácil la política de análisis de riesgos y seguridad de la información ordenar primero —la respuesta ante incidentes generalmente se basa en eso.