el cliente quiere que firmemos una declaración de seguridad, ¿podemos hacerlo así

Puede firmar, pero lea bien lo que dice

Sí, un cliente puede pedirlo — una declaración de seguridad no es una obligación legal sino una exigencia contractual, y el cliente es libre de establecerla. El punto no es si puede pedirlo, sino si la declaración cubre lo que realmente hacen. Una firma bajo "cumplimos con las diez medidas del artículo 21 apartado 2 NIS2" o bajo "somos conformes con ISO 27001" es una promesa con valor contractual, no una casilla en un cuestionario. Si surge una disputa — un incidente en el cliente que se remonta a ustedes — esa declaración es el primer documento que se consulta.

Así que mire primero el formato. ¿La declaración pide un sí/no por medida, o es una única declaración en blanco "somos compatibles con NIS2"? La primera puede respaldarla punto por punto; la segunda suele ser más amplia que lo que puede demostrar, especialmente si usted no está sujeto a la directiva como tal sino como proveedor de una entidad que sí lo está — si la empresa se incluye de forma independiente en la Directiva NIS2 es entonces la primera pregunta que se responde a sí mismo. Nunca firme una afirmación sobre una medida que no pueda demostrar, por ejemplo si existe un proceso para detectar vulnerabilidades — si no lo tiene, escríbalo o solicite una versión especificada.

De dónde proviene la responsabilidad

La declaración en sí no obtiene su peso de la Ley de ciberseguridad — que solo obliga a las entidades designadas, no directamente a sus proveedores — sino del contrato que firma. NIS2 funciona a través del artículo 21 apartado 2, que obliga a las entidades a gestionar los riesgos en la cadena de suministro; es la razón por la que esa entidad se lo pregunta a usted, no la razón por la que usted está vinculado. Lo que promete está en el texto de la declaración misma, no en la directiva.