qué relleno en la pregunta sobre encriptación de datos en reposo y en tránsito

El cifrado en almacenamiento y en tránsito son dos casillas, no una

Rellene por separado si los datos en reposo están cifrados y si los datos en tránsito están cifrados — una lista que convierte una pregunta en una, pero generalmente quiere ver ambas respuestas en la aclaración. Para el transporte, TLS 1.2 o superior es el estándar esperado; para el almacenamiento, AES-256 a nivel de base de datos o cifrado completo del disco. Si tiene solo TLS para el tráfico pero sin cifrado en el almacenamiento, ingrese "parcialmente" o "no" en almacenamiento con una breve aclaración — no "sí" porque el lado del transporte sea correcto.

Si no lo ha documentado por sistema pero sabe que su proveedor de nube (AWS, Azure, Google Cloud) lo hace de forma estándar a nivel de infraestructura, esa es una respuesta válida, siempre que la describa así: cifrado por el proveedor, no administrado internamente. Algunos cuestionarios preguntan explícitamente por la gestión de claves — quién gestiona las claves de cifrado, usted o el proveedor — y esa es una respuesta diferente a la pregunta de si hay cifrado. En caso de duda sobre lo que se pregunta exactamente: compruebe si la pregunta forma parte de un bloque más amplio sobre política de criptografía y cifrado, porque entonces a menudo también se pregunta por la política en sí, no solo por la técnica. Si no tiene una política documentada pero la técnica está activada, indique esa diferencia en la aclaración en lugar de responder de forma ambigua.

De dónde viene: artículo 21 apartado 2 NIS2 y Anexo A de ISO 27001

La criptografía y el cifrado se mencionan como medida separada en el artículo 21 apartado 2 de la Directiva (UE) 2022/2555 (NIS2), junto a medidas sobre política de acceso y seguridad de redes — por eso los clientes lo preguntan por separado de, por ejemplo, la política de acceso y la gestión de activos. En ISO/IEC 27001, la criptografía es una medida de control propia en el Anexo A, separada de las medidas sobre sistemas de información en general. La Ley de Ciberseguridad, la transposición holandesa de NIS2, se espera que entre en vigor alrededor del 15 de agosto de 2026; hasta esa fecha, la directiva en sí es el punto de referencia para quienes ya reciben cuestionarios sobre esto.