el cliente pregunta cómo clasificamos la información sensible, cuál es nuestra respuesta

La clasificación de datos sensibles forma parte de la gestión de activos y la política de acceso

Esta pregunta corresponde a la medida relativa a los activos y el acceso del artículo 21, apartado 2, de la Directiva NIS2: saber qué información tienes, cuán sensible es y quién puede acceder a ella. Un esquema de clasificación en sí no es una lista separada en el artículo 21 — es la implementación práctica con la que puedes fundamentar tu política de acceso y tu política de criptografía. Los clientes suelen hacer esta pregunta para comprobar si haces una distinción entre información pública, interna, confidencial y estrictamente confidencial, y si hay reglas concretas asociadas: quién puede verla, cómo se cifra, cuánto tiempo se conserva.

Si no tienes un esquema de clasificación formal con etiquetas y reglas por nivel, la respuesta honesta es "no" o "parcialmente" — no rellenes que existe porque de forma informal sí haces una distinción entre información sensible y no sensible. Si trabajas con un esquema pero no está implementado en todas partes, indícalo así; una política parcialmente implementada es algo distinto a una política establecida. Esto se conecta directamente con la política de acceso y la gestión de activos, porque sin clasificación no es posible justificar adecuadamente el acceso en función de la sensibilidad. Si trabajas con cifrado de archivos confidenciales, eso es la prueba de la política sobre criptografía — vincula esa respuesta en tu expediente.

Dónde aparece en la directiva y la norma

El artículo 21, apartado 2, de la Directiva NIS2 menciona "una política de evaluación de riesgos y seguridad de los sistemas de información" y "política y procedimientos relativos al uso de la criptografía" como dos de las diez medidas; la clasificación de datos es el vínculo entre ellas, no un punto independiente. En ISO/IEC 27001 esto aparece de forma más explícita: el Anexo A contiene medidas de control para la clasificación de la información y el etiquetado de activos según su nivel de sensibilidad. Si tienes un certificado ISO, eso es inmediatamente la prueba más sólida para esta respuesta — comprueba si aparece en tu expediente a través de el estado del certificado ISO 27001. La Ley de Ciberseguridad, la transposición holandesa de la Directiva NIS2 que entra en vigor el 15 de agosto de 2026, no cambia esto: las diez medidas se mantienen sin modificaciones.