rellenar este cuestionario de seguridad me lleva siempre demasiado tiempo

Siempre los mismos diez temas, con un formato diferente

Casi siempre es por una única razón: cada cliente traduce las mismas diez medidas del artículo 21 apartado 2 de la Directiva NIS2 a sus propias palabras y su propio orden. Un portal pregunta "¿disponen ustedes de un proceso de respuesta ante incidentes?", otro "describa su procedimiento ante incidentes de seguridad" — es la misma pregunta que ¿existe un procedimiento para tratar incidentes de seguridad?. Sin un dossier central único, buscas esa respuesta diez veces al año, en diez formulaciones distintas.

El tiempo no está en responder, está en encontrar la evidencia. Qué documento de política, qué versión, qué certificado — buscar eso y reformular la respuesta al formato de ese cliente específico, eso es el día completo. Preguntas sobre autenticación multifactor, sobre política de acceso y gestión de activos y sobre requisitos de seguridad para proveedores propios vuelven en prácticamente todas las listas, solo que organizadas de forma diferente. Quien una vez por tipo de pregunta documenta cuál es la respuesta real y dónde está la evidencia, después solo tiene que reconocer cuál de los diez temas se trata — y eso es trabajo de minutos, no de un día.

Reducible a las mismas diez medidas

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona las diez medidas a las que prácticamente toda lista de preguntas sobre seguridad — ya sea de un banco, de un asegurador o de un gran cliente — recurre directa o indirectamente: desde la gestión de riesgos y el tratamiento de incidentes hasta la criptografía y la gestión del acceso. Quien aplica ISO/IEC 27001 reconoce esos mismos temas en las medidas de control del Anexo A, lo que explica por qué un cuestionario sobre "seguridad de la información" y otro sobre "cumplimiento de NIS2" preguntan en su mayor parte por los mismos hechos. La Ley holandesa de Ciberseguridad, que transpone esta directiva el 15 de agosto de 2026, no cambia esa estructura fundamental — las preguntas que los clientes ya hacen ahora seguirán siendo en gran medida las mismas preguntas después de esa fecha.