el cuestionario pregunta si clasificamos los datos según su sensibilidad

La clasificación es parte de la gestión de activos, no un apartado separado

Sí, debe existir una política para esto, pero rara vez se presenta de forma independiente. La clasificación de datos según sensibilidad (público, interno, confidencial, secreto) forma parte de la gestión de activos empresariales: solo puedes aplicar la protección adecuada si sabes qué datos tienen mayor peso. Los cuestionarios que preguntan por separado sobre "classification of information" a menudo comprueban si esa gestión va más allá de una lista en un archivo de Excel, es decir, si también hay reglas asociadas: quién puede ver qué, cómo se etiqueta, qué ocurre con los archivos confidenciales.

Si no lo tienes documentado por separado, entonces "por determinar" es realista hasta que compruebes si ya está implícito en tu política de acceso y registro de activos está. Muchas empresas clasifican de forma informal — el departamento de TI sabe qué sistemas contienen datos sensibles de clientes — sin que exista un documento "esquema de clasificación". Para esta pregunta, a menudo no es suficiente: el que pregunta quiere ver un esquema con niveles y reglas asociadas, no solo una intención.

Trazable al artículo 21 apartado 2 y Anexo A

En el artículo 21 apartado 2 de la Directiva NIS2, la clasificación no aparece como un elemento separado, sino que está integrada en las medidas sobre gestión de activos y política de acceso en los puntos (i) y (d). ISO/IEC 27001 es más explícita: el Anexo A incluye una categoría separada de medidas de control para "information classification", con etiquetado y manipulación como controles independientes. Si ya trabajas con un certificado ISO 27001, probablemente esto ya esté cubierto y puedas remitirte al certificado en sí — véase si ese certificado está presente. Si estás sujeto a la Ley de Ciberseguridad una vez que entre en vigor el 15 de agosto de 2026, la misma obligación se aplica a través de la transposición holandesa del artículo 21; comprueba primero si la empresa realmente se considera entidad conforme a esa directiva, ya que esto determina si se trata de una obligación u una opción.