la lista quiere saber cómo regulamos el acceso a los sistemas, qué respondo

El control de acceso se basa en autorización, verificación y registro

Esta pregunta se encuadra en la política de control de acceso, y la mayoría de cuestionarios la dividen en tres partes: cómo se otorga y se revoca el acceso (autorización), cómo se verifica la identidad del usuario (autenticación), y si se registra quién accedió a qué sistema y cuándo (registro). Una respuesta completa menciona las tres. Para la autorización, la respuesta habitual es que el acceso se otorga en función del puesto o rol, que los derechos se revisan en caso de cambio de función o terminación de la relación laboral, y que existe una verificación periódica de las cuentas activas. Si no hay un proceso fijo pero el acceso se otorga de forma manual y limitada, una respuesta realista es "parcialmente" con una breve explicación, no "sí".

Para la autenticación, a menudo se pregunta por separado si se utiliza autenticación multifactor para el acceso a los sistemas de la empresa — esa es una respuesta independiente, incluso si el resto de la política de acceso está en orden. Para el registro, la prueba suele ser una exportación del sistema de gestión de identidad y acceso, o una captura de pantalla de la estructura de roles; un documento de política sin un sistema subyacente raramente resulta convincente. Si falta esa prueba, "no, aún no formalizado" es una respuesta viable — el riesgo está en "sí" sin documentación que lo respalde.

Derivable del artículo 21 apartado 2 y Anexo A

El control de acceso se menciona como medida independiente en el artículo 21 apartado 2 de la Directiva NIS2, junto con el requisito más amplio de que la política de acceso incluida la gestión de activos de la empresa esté documentada. En ISO/IEC 27001, el mismo requisito aparece en el Anexo A, entre las medidas de control de acceso; quienes ya estén certificados en esa materia pueden presentar ese certificado como prueba en lugar de recopilar documentos independientes.