quién es responsable de rellenar el cuestionario de seguridad

La distribución de funciones no es en sí un requisito normativo, pero la respuesta sí debe verificarse

El cuestionario en sí no prescribe quién debe rellenarlo; el artículo 21, apartado 2, de la NIS2 y el Anexo A de ISO/IEC 27001 se refieren a las medidas que adopta una organización, no al funcionario que firma el formulario. En la práctica, suele ser la persona que conoce la política de seguridad de la información: un responsable de seguridad, un gestor de TI o, en empresas más pequeñas, el propio director. Cuando existe un certificado ISO 27001, a menudo ya hay un responsable designado en el sistema de gestión — ese nombre es entonces el punto de contacto lógico para esta lista.

Lo que sí es cierto: las respuestas deben basarse en algo. Si una pregunta se refiere a la protección del acceso, alguien debe poder señalar qué política o qué medida subyace — no rellenarla de memoria, sino leerla de un expediente. Esto convierte la cuestión menos en "quién puede rellenar esto" y más en "quién tiene los hechos subyacentes a mano". La misma persona es a menudo también quien puede evaluar si la empresa utiliza sistemas de IA en el ámbito de su prestación de servicios, ya que esto toca el mismo inventario técnico. En caso de duda sobre quién es internamente responsable de una respuesta, suele ser la misma persona que también gestiona el plan de continuidad ante una perturbación grave — los dos temas se solapan en cuanto al material de origen.

De dónde surge esto: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2, de la NIS2 menciona diez categorías de medidas, entre ellas la gestión del riesgo, la gestión de incidentes y la política de acceso — la Directiva regula el contenido de esas medidas, no quién las comunica internamente. El Anexo A de ISO/IEC 27001 lo desarrolla en medidas de control concretas, y las organizaciones que tienen certificación normalmente ya han designado un responsable en su sistema de gestión. Esa distribución de funciones existente es la fuente más obvia a la que recurrir a la hora de rellenar un cuestionario de seguridad.