el cuestionario pregunta si disponemos de un plan de continuidad empresarial

BCP es la aplicación del artículo 21 apartado 2 letra c

Un plan de continuidad de negocio es la respuesta a la pregunta de cómo los servicios siguen funcionando en caso de fallo, y esto es exactamente lo que pide el artículo 21 apartado 2 letra c de NIS2: gestión de la continuidad, con copias de seguridad, recuperación ante desastres (disaster recovery) y gestión de crisis. Quien tiene un BCP puede normalmente responder "sí" — pero entonces el documento debe cubrir realmente esos tres componentes, no solo un cronograma de copias de seguridad. Una copia de la política de copias de seguridad únicamente no suele ser suficiente como prueba; el cuestionario pregunta por el plan de recuperación, no por la técnica detrás de él. Comprueba por lo tanto si las copias de seguridad y disposiciones de emergencia que tu cliente menciona se ajustan a lo que realmente has documentado.

Si no tienes un documento BCP separado pero sí tienes copias de seguridad que funcionan y un acuerdo informal sobre quién hace qué en caso de fallo, entonces "no" con una justificación es más honesto que "sí" con un documento medio apropiado. En la práctica, muchos clientes aceptan un certificado ISO 27001 como prueba alternativa para todo este bloque, porque la continuidad forma parte del Anexo A. Si ese es tu caso, refiere entonces a el certificado ISO 27001 como prueba general en lugar de construir un BCP independiente que no existe.

Dónde aparece esto: artículo 21 apartado 2 letra c y Anexo A.5.29/5.30

El artículo 21 apartado 2 de la Directiva NIS2 menciona diez categorías de medidas que son obligatorias conforme a la directiva para las entidades que se ven afectadas; la letra c es específicamente gestión de la continuidad, con gestión de copias de seguridad, recuperación ante desastres y gestión de crisis como componentes mencionados. En ISO/IEC 27001 esto aparece en el Anexo A, bajo las medidas de control para seguridad de la información en caso de interrupciones (business continuity) y la medida de copia de seguridad asociada. La Ley holandesa de Ciberseguridad transpone esta obligación a la normativa nacional y se espera que entre en vigor el 15 de agosto de 2026; hasta esa fecha, NIS2 es la fuente para el contenido del requisito.