el cuestionario pregunta dónde y cómo almacenamos los datos del cliente

Ubicación y método de almacenamiento: parte del artículo 21, no solo del RGPD

La pregunta de dónde y cómo almacenas los datos de tu cliente a menudo se recibe como una pregunta de privacidad, pero en un cuestionario NIS2 forma parte de las diez medidas del artículo 21, apartado 2 de la Directiva (UE) 2022/2555. En particular, la letra h (seguridad en la adquisición, desarrollo y mantenimiento de sistemas) y la letra i (política de personal y política de acceso) afectan directamente al almacenamiento: dónde se encuentran físicamente o virtualmente los datos, quién puede acceder, y si ese almacenamiento está cifrado. Una respuesta completa menciona, pues, tres cosas: la ubicación (centro de datos propio, proveedor de nube, qué región), la separación entre entornos de clientes si trabajas en modo multiinquilino, y el cifrado de datos en reposo y en tránsito.

Si no tienes esto último a mano, la respuesta no es marcar "sí" sino primero verificar qué la política sobre criptografía y cifrado dentro de la empresa se documenta realmente. Muchas empresas cifran datos en tránsito (TLS) pero no siempre en reposo, y esa diferencia a menudo el cliente pregunta por separado. Si trabajas con un proveedor de nube externo, eso también entra en la pregunta de si se establecen requisitos de seguridad a proveedores propios — la ubicación de almacenamiento es entonces de facto un acuerdo de cadena con ese proveedor, y tu respuesta puede referirse al contrato o al SLA con esa parte en lugar de a infraestructura propia.

Dónde se audita esto en ISO 27001

Quién está certificado en ISO/IEC 27001 ya ha documentado ubicación de almacenamiento y cifrado en las medidas del Anexo A sobre criptografía y sobre gestión de activos; la respuesta a esta pregunta puede entonces simplemente referirse al certificado y a la Declaración de Aplicabilidad correspondiente. Sin ese certificado ISO 27001 la respuesta debe provenir de documentación propia: un diagrama de arquitectura, un acuerdo de encargado con el proveedor de nube, o una nota interna sobre residencia de datos.