el cuestionario pregunta cómo les notificaríamos una violación de datos

Esta pregunta se refiere a procedimiento de notificación, no a obligación de notificación ante una autoridad supervisora

El cliente pregunta aquí cómo funciona su proceso de incidentes, no si alguna vez ha notificado una brecha de datos a la Autoridad de Protección de Datos. La respuesta que se solicita es una descripción del proceso: cómo identifica un incidente de seguridad, quién es alertado internamente entonces, en qué plazo el cliente recibe una notificación, y a través de qué canal. Eso es exactamente lo que el procedimiento para incidentes de seguridad debe incluirse si ya ha fijado una política al respecto.

Si tiene un proceso así fijado, la respuesta suele ser "sí": tiene un procedimiento, un punto de contacto y un plazo de notificación acordado hacia los clientes cuyos datos o sistemas posiblemente se hayan visto afectados. Si falta ese proceso, o existe solo verbalmente, entonces "no" o "parcialmente" es la respuesta factualmente correcta — una promesa de que lo hará "a partir de ahora" no es una respuesta para hoy. Preste también atención al vínculo con proveedores: si el incidente surge en un tercero que trabaja para usted, eso afecta los requisitos que impone a sus propios proveedores, y algunos cuestionarios lo preguntan por separado.

Por qué esto se incluye en el artículo 21, apartado 2

Los procedimientos de notificación de incidentes forman parte de las diez medidas del artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555); el apartado b menciona la gestión de incidentes por su nombre. En la Ley de Ciberseguridad, la transposición holandesa que entrará en vigor el 15 de agosto de 2026, vuelve la misma obligación para las entidades cubiertas por esa ley. ISO/IEC 27001 solicita en el Anexo A una fijación comparable, en las medidas de control para la gestión de incidentes. Cuál de las tres le corresponde depende de si su empresa está sujeta a una de esas normativas — esa es una pregunta diferente a esta.