El error que más frecuentemente se produce
El error más común en un cuestionario de ciberseguridad no es que complete algo incorrectamente, sino que complete algo que ya no puede demostrar. Una respuesta como "realizamos copias de seguridad" o "se ha implementado una política de contraseñas" a menudo se escribe de memoria, mientras que el cliente en realidad pregunta por la situación actual: ¿la medida sigue siendo válida ahora, y existe un documento que lo confirme? La diferencia entre lo que cree que hace y lo que puede demostrar es la causa de casi cada rechazo.
La solución no está en formular mejor, sino en un orden diferente: primero poner en orden sus documentos justificativos, solo entonces responder. Quien trabaja al revés, completa basándose en la memoria y corre el riesgo de que la respuesta ya no corresponda con la realidad.
Por qué esto falla más frecuentemente de lo que cree
Un cuestionario de ciberseguridad rara vez llega solo. Un banco envía un formato, un gran cliente envía otro formato, y una aseguradora formula preguntas ligeramente diferentes — todas sobre más o menos los mismos temas. Los supervisores y las asociaciones sectoriales se refieren regularmente a las diez medidas mencionadas en la Directiva NIS2, como el control de acceso, la respuesta ante incidentes y la seguridad de la cadena de suministro. Quien no toma estos diez temas como punto de partida fijo, responde cada lista desde cero, y ahí es donde surgen las inconsistencias.
Error 1: la misma respuesta, solo formulada de manera diferente
Porque cada portal utiliza su propio formato, el mismo hecho a menudo se escribe de manera ligeramente diferente. En una lista escribe que el acceso "se limita a empleados autorizados", en otra que existe "un modelo de roles". Ambos pueden ser ciertos, pero si un cliente coloca las respuestas una al lado de la otra — y eso sucede cada vez más, incluso automáticamente — las diferencias destacan. No porque haya algo mal, sino porque parece inconsistente.
Error 2: una medida en papel, no en la práctica
Un documento de política elaborado hace tres años y nunca actualizado no es prueba de que una medida se siga aplicando ahora. Los supervisores y los clientes aquí no solo miran la existencia de un documento, sino la fecha y quién lo ha establecido. Completar un cuestionario basándose en un documento desactualizado es el segundo error más común.
Error 3: documentos justificativos vencidos que nadie reemplaza
Los certificados, informes de pruebas de penetración y pólizas de seguros tienen un período de validez. Quien no los mantiene de forma centralizada, a menudo descubre solo al completar una nueva lista que un documento ha vencido. Esto lleva tiempo, y a veces toda la presentación debe esperar hasta que llegue un nuevo documento. lea por tema qué documentos justificativos se solicitan normalmente y cuándo vencen en promedio.
Error 4: completar el alcance demasiado amplio o demasiado estrecho
Una pregunta sobre "su organización" a veces se responde como si se tratara de una única ubicación, mientras que el cliente se refiere a toda la persona jurídica — o viceversa. Esto parece un detalle, pero determina si la respuesta es materialmente correcta. En caso de duda sobre el alcance de una pregunta, se recomienda comprobar la definición en el cuestionario mismo, o plantear la pregunta directamente al cliente.
Cómo evitar esto en la práctica
La mayoría de estos errores surgen porque la misma información se mantiene en varios lugares de forma aislada: en buzones, en archivos Excel, en la cabeza de un solo empleado. Un resumen centralizado de medidas y documentos justificativos, con una fecha de última revisión clara para cada documento, evita la mayoría de los errores anteriores. Este resumen no necesita reconstruirse para cada lista; se actualiza tan pronto como algo cambia.
Supplia.eu está diseñado precisamente para apoyar esa visión general: el sistema reconoce las preguntas en una lista cargada y las completa a partir de su expediente de cadena, después de lo cual usted mismo confirma por cada respuesta si es correcta. No hacemos ninguna evaluación ni explicación — el control de contenido y la presentación en el portal de su cliente siguen siendo responsabilidad suya. Con algunas preguntas verá rápidamente dónde se encuentra su expediente en este momento, y en la página sobre nuestra metodología se explica exactamente de dónde procede la información.
Lo que esto no sustituye
Este artículo describe patrones generales, no una evaluación de sus respuestas o expediente específicos. El hecho de que una medida concreta cumpla con lo que un banco, asegurador o cliente importante requiere exactamente depende de la formulación de preguntas de esa parte. En caso de duda sobre una pregunta específica, es aconsejable plantearla al cliente, o en caso de dudas legales, consultar a un abogado. En la página de preguntas frecuentes se encuentra un resumen de qué hacemos y qué no hacemos.
¿Desea saber si su expediente ya previene los errores más comunes? Realice el análisis rápido gratuito u hojee los temas en la base de conocimientos — ambos son accesibles sin obligación.