¿Existe un procedimiento para tratar incidentes de seguridad?

La gestión de incidentes es una de las diez medidas obligatorias

Sí, y esa pregunta verifica específicamente la segunda de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2: "gestión de incidentes" aparece literalmente junto con el análisis de riesgos como categoría propia. Quien recibe esta pregunta no solo debe indicar que existe un procedimiento, sino también demostrar qué contiene: cómo se notifica un incidente, quién se encarga, qué pasos se siguen y cómo se documenta lo ocurrido. Un procedimiento sin responsable o sin pasos documentados no convence a un auditor, aunque el documento exista.

La prueba concreta suele ser una descripción de procedimiento o runbook, que incluya clasificación de incidentes (gravedad, impacto), un punto de notificación o persona de contacto, y un paso para evaluación posterior. Esa evaluación no es decorativa: sin un método establecido para registrar y conservar eventos en los sistemas, no hay base para reconstruir un incidente o demostrar que ha sido gestionado. Si falta el procedimiento, entonces "no, en desarrollo" es una respuesta más honrada que inventar un procedimiento que no existe — la lista de preguntas pregunta por lo que hay, no por una intención.

Cómo se relaciona esto con la continuidad y el análisis de riesgos

El artículo 21, apartado 2 menciona las diez medidas como un conjunto, e la gestión de incidentes no es independiente del resto. Un incidente que afecte a la prestación del servicio a menudo activa el punto sobre copias de seguridad y una medida de emergencia para restablecer la prestación del servicio; un procedimiento de gestión de incidentes que no haga referencia al plan de recuperación es incompleto. Además, la gestión de incidentes es la pieza final de política para el análisis de riesgos y la seguridad de sistemas de información: el análisis de riesgos predice qué puede salir mal, la gestión de incidentes regula qué ocurre si sale mal de todas formas. Un cliente que pregunta por el procedimiento comprueba así implícitamente si esos dos aspectos se alinean.