mi asegurador de ciberseguridad envía un cuestionario exhaustivo, ¿qué debo rellenar

Los aseguradores cibernéticos solicitan las mismas diez medidas que NIS2

Una lista de preguntas de seguridad extensa de un asegurador cibernético se superpone en gran medida con las diez medidas del artículo 21 apartado 2 de la Directiva NIS2: análisis de riesgos, tratamiento de incidentes, continuidad empresarial, seguridad de la cadena de suministro, gestión de vulnerabilidades, política de criptografía, control de acceso y MFA. Los aseguradores no utilizan esa clasificación porque tengan que informar según la directiva, sino porque es un indicador de riesgo útil para la prima y la cobertura. Si reconoces esa clasificación en el cuestionario, podrás recurrir en gran medida a lo que ya hayas documentado para otros clientes.

Donde se complica más: los aseguradores suelen preguntar un poco más concretamente que un cliente que solo quiere saber "¿tenéis un procedimiento de incidentes". Por ejemplo, quieren saber si existe un procedimiento para el tratamiento de incidentes de seguridad incluidos plazos de notificación y rutas de escalada, o ahondan en la efectividad de las medidas de seguridad — es decir, no solo si existe la política, sino si alguna vez ha sido probada. Si no tienes un documento de prueba, responde con precisión: "aún no formalizado" o "en desarrollo" es mejor que un sí que no puedas respaldar en caso de reclamación.

ISO 27001 como camino más corto a través de la lista

Si tienes un certificado ISO 27001, eso cubre una gran parte del cuestionario de una vez, porque las medidas del Anexo A prácticamente coinciden uno a uno con lo que preguntan los aseguradores. Menciona explícitamente el certificado donde se pregunta si la empresa está certificada en ISO 27001 y remítete al informe de auditoría correspondiente para las medidas subyacentes si el asegurador lo solicita — esto suele ahorrar una explicación separada por cada pregunta.

De dónde surge esto: artículo 21, apartado 2 y Anexo A

Las diez categorías de medidas están en el artículo 21 apartado 2 de la Directiva (UE) 2022/2555 (NIS2); la transposición neerlandesa se efectúa mediante la Ley de Ciberseguridad, que entrará en vigor el 15 de agosto de 2026. La clasificación comparable de medidas de control figura en el Anexo A de ISO/IEC 27001. Los aseguradores no están obligados por ninguna de ellas — el cuestionario es un instrumento de riesgo propio — pero la superposición en la clasificación no es una coincidencia: ambas fuentes describen lo que en la práctica se considera protección básica.