el cuestionario pregunta por la clasificación de datos qué debo rellenar

Clasificación de datos sensibles: sin casilla separada en el artículo 21

Esto cae bajo la medida de política de acceso y gestión de activos del artículo 21 apartado 2 de NIS2, no bajo un requisito separado. La Directiva menciona "asset management" y política de acceso bajo el punto (d) de las diez medidas, y la clasificación de datos es el punto de partida lógico de esto: no se puede restringir el acceso a datos sensibles si antes no se ha establecido qué datos son sensibles. Si el cuestionario pregunta por clasificación, entonces pertenece a la misma justificación que la política de acceso y la gestión de activos.

En concreto, el cliente suele querer saber: ¿tienes una clasificación (por ejemplo, pública, interna, confidencial, secreta), está esta clasificación documentada, y hay reglas vinculadas a cada nivel — quién puede verla, cómo se almacena, se puede enviar cifrada? Si no tienes una clasificación formal pero sí una lista de sistemas sensibles y quién tiene acceso a ellos, a menudo puedes presentar eso como prueba parcial; la respuesta sería entonces "sí, con aclaración" en lugar de un "sí" listo para usar. Si no has documentado nada, entonces "no" es la respuesta honesta — inventar un esquema de clasificación para rellenar el cuestionario no proporciona un documento de prueba si el cliente alguna vez lo solicita. Presta atención también al solapamiento con cifrado: si la clasificación genera reglas sobre encriptación de la categoría más alta, eso pertenece a la política sobre criptografía.

Dónde está esto en la normativa

Los artículos 21 apartado 2 letra (d) e (i) de la Directiva (UE) 2022/2555 mencionan la gestión de activos empresariales y la política de control de acceso como dos de las diez medidas obligatorias; la clasificación de datos es el punto de conexión entre ambas. ISO/IEC 27001 lo desarrolla de manera más explícita: el Anexo A tiene una categoría separada para "information classification" dentro del grupo más amplio de medidas de control de activos. Quien ya está certificado en ISO 27001, generalmente tiene un esquema de clasificación como parte fija del sistema de gestión — véase también la pregunta sobre la empresa está certificada en ISO 27001. La Ley de Ciberseguridad, la transposición holandesa de NIS2, entra en vigor el 15 de agosto de 2026 y reitera estas diez medidas sin complementarlas con un artículo de clasificación separado.