el cuestionario pregunta si nuestros datos están encriptados en almacenamiento, ¿cómo sé eso

El cifrado en reposo y en tránsito son dos preguntas diferentes

La pregunta "¿están los datos almacenados cifrados?" se refiere específicamente al cifrado en reposo — datos en disco, en la base de datos, en copias de seguridad. Ese es un apartado diferente al del cifrado en tránsito (TLS en el tráfico de datos), y muchos cuestionarios solicitan información sobre ambos por separado, incluso si la formulación los agrupa. Verifica por lo tanto si el cuestionario espera una respuesta o si en realidad verifica dos afirmaciones independientes. Para "sí" debes poder demostrar que se aplica a los sistemas relevantes para el servicio prestado a ese cliente — no que sea así en todas partes en tu panorama de TI.

La prueba es generalmente una de tres cosas: una exportación de configuración o captura de pantalla de tu proveedor de nube (por ejemplo, cifrado en reposo activado de forma predeterminada en AWS RDS o Azure Storage), un extracto de tu Declaración de Aplicabilidad de ISO 27001 si la empresa está certificada en ISO 27001 es, o un pasaje de tu propia política de criptografía. Si no tienes una política separada, entonces "no, sin documento independiente" es la respuesta honesta — una medida técnica sin política documentada detrás es un riesgo diferente al de no cifrar, y puedes hacer esa distinción en tu justificación. El cifrado generalmente se incluye en sentido más amplio bajo política sobre criptografía y cifrado, así que si esa pregunta aparece en el mismo cuestionario, utilizas la misma prueba para ambas.

Donde esto cae bajo las diez medidas

La criptografía y el cifrado se mencionan como medida separada en el artículo 21, apartado 2 de la Directiva NIS2, junto a otras medidas como la política de acceso y la gestión de incidentes. En ISO 27001 Anexo A, el cifrado aparece como medida de control independiente dentro del dominio de criptografía — por eso los auditores solicitan pruebas independientes, aunque tu política de seguridad general ya mencione el tema. Si estás sujeto a la Ley de Ciberseguridad, entonces este es uno de los puntos sobre los cuales como entidad bajo la Directiva NIS2 rindes cuentas por ti mismo, no solo ante los clientes que lo soliciten.