preguntan en qué país se almacenan nuestros datos

La ubicación del almacenamiento en la nube se encuentra bajo la seguridad de la cadena, no bajo cifrado

Esta pregunta se encuentra bajo la medida de seguridad de la cadena del artículo 21 apartado 2 letra d NIS2: los requisitos que la empresa impone a sus propios proveedores, incluyendo el proveedor de servicios en la nube. La ubicación del almacenamiento no es, por lo tanto, una cuestión de técnica, sino de gestión de proveedores — qué acuerdos se han celebrado con ese proveedor y si se han documentado. Quien trata esto como una cuestión fáctica aislada y marca inmediatamente "sí" sin un contrato subyacente, responde la pregunta técnicamente correcta pero carece de la justificación que el cliente realmente espera.

La prueba documental que corresponde a esto es generalmente el Acuerdo de Tratamiento de Datos o el resumen de subencargados del proveedor de servicios en la nube, que contiene la ubicación de los centros de datos. Si no tienes esto a mano, entonces "aún por determinar" es la respuesta correcta aquí — no porque deba permanecer desconocido, sino porque mencionar un país sin ese documento es una suposición, no un hecho. La misma documentación también es relevante para la pregunta si la empresa establece requisitos de seguridad para sus propios proveedores: un DPA con una ubicación fija es a menudo la prueba de que se ha impuesto ese requisito. Algunos clientes, por cierto, no preguntan esto por la ubicación en sí, sino para verificar si se ha aplicado el cifrado en reposo — comprueba entonces si la pregunta no se ajusta realmente a la política sobre criptografía y cifrado.

Dónde está en la directiva: artículo 21 apartado 2 letra d

El artículo 21 apartado 2 letra d NIS2 menciona explícitamente "la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos" como una de las diez medidas obligatorias. Un proveedor de servicios en la nube es tal prestador de servicios directo, y la ubicación del almacenamiento de datos es un aspecto de seguridad de esa relación. ISO/IEC 27001 Anexo A lo desarrolla más bajo las medidas de control para relaciones con proveedores, lo que explica por qué los clientes a menudo lo plantean junto con preguntas sobre certificación — ver también si la empresa está certificada en ISO 27001. La Ley de Ciberseguridad asume este requisito sin cambios de la directiva.