quién es responsable de rellenar cuestionarios de clientes sobre seguridad

Responsable es el rol, no el departamento

No hay indicación legal sobre quién en la empresa debe rellenar el cuestionario de seguridad — eso es política interna, no una obligación reglamentaria. En la práctica, recae en quien puede fundamentar la respuesta: frecuentemente el gestor de TI u oficial de seguridad para las medidas técnicas, y RRHH o dirección para las políticas y la concienciación. En una certificación ISO 27001, esto suele estar ya establecido en la asignación de funciones del sistema de gestión de la seguridad de la información, y entonces el cuestionario es cuestión de consultar ese sistema, no de volver a investigarlo.

Donde a menudo falla no es la pregunta de quién rellena, sino la pregunta de quién puede autorizar. Una respuesta técnica puede ser correcta, pero si la persona que la introduce no tiene visibilidad sobre qué puede compartirse con un tercero externo, sale información que no debería salir. Esa es una razón para considerar el llenado y la liberación como dos pasos separados: el primero es un hecho, el segundo es una evaluación sobre confidencialidad. Esa misma separación aplica, por ejemplo, a la pregunta si la empresa tiene un plan de continuidad — también ahí la respuesta suele ser conocida, pero no siempre está pensada para compartirse en detalle.

Lo que el cuestionario evalúa en términos de contenido

Las diez medidas del artículo 21 apartado 2 de la Directiva NIS2 (Directiva (UE) 2022/2555) dan una buena imagen de las categorías que reaparecen en los cuestionarios de los clientes: análisis de riesgos, tratamiento de incidentes, continuidad empresarial, seguridad de proveedores, políticas de acceso y similares. Quien aplica ISO/IEC 27001 reconoce los mismos temas en los controles del Anexo A — eso hace que la norma sea una obra de referencia interna útil, incluso si el certificado en sí no se muestra al cliente. Para la pregunta si la empresa tiene certificación ISO 9001 se aplica la misma lógica: se trata de una norma independiente, pero la pregunta sobre quién conoce y gestiona la respuesta suele recaer organizativamente en la misma persona.