el cuestionario pregunta si los datos se transmiten y almacenan cifrados

Encriptación en reposo y en tránsito, dos preguntas separadas

Esta pregunta se divide generalmente en dos partes, y esa es precisamente la razón por la que a menudo se responde incorrectamente: transmisión encriptada (en tránsito, por ejemplo TLS en tráfico de datos) y almacenamiento encriptado (en reposo, por ejemplo encriptación de disco o encriptación de base de datos) son dos medidas técnicas diferentes. Una respuesta "sí" a la pregunta completa es correcta solo si ambas son correctas. Si tienes TLS 1.2 o superior en todas las conexiones externas pero no tienes encriptación en la capa de almacenamiento, la respuesta está dividida: sí para tránsito, no o aún por hacer para reposo. Cumplimenta también de esta forma dividida si el portal del cliente tiene dos campos separados — y verifica esto, porque muchos formatos lo hacen, incluso si la lista original lo plantea como una pregunta única.

El documento probatorio que corresponde aquí es la política de criptografía: un documento que especifica qué algoritmos y protocolos utiliza la empresa, para qué categorías de datos, y quién decide al respecto. Si no lo tienes documentado pero está implementado técnicamente, la respuesta a la pregunta en sí sigue siendo a menudo "sí", pero falta la justificación que un auditor o cliente quiere ver. Este es el momento para la política sobre criptografía y cifrado establecer antes de marcar la casilla, no después. Sin esa política, "sí, encriptamos" es una afirmación técnica sin respaldo documentado.

Procedencia: artículo 21, apartado 2 y Anexo A

La criptografía y la encriptación se mencionan como medida separada en el artículo 21, apartado 2 de la Directiva NIS2 (Directiva (UE) 2022/2555), entre las diez medidas que una entidad debe tomar como mínimo — no es por lo tanto un asunto secundario junto al análisis de riesgos o respuesta a incidentes, sino una categoría obligatoria propia. En ISO/IEC 27001 el mismo tema reaparece como medida de control separada en el Anexo A, aparte de la seguridad de acceso más amplia. Quien trabaja en certificación, hace bien en considerarlo de inmediato junto a la pregunta de si la empresa está certificada en ISO 27001, porque un auditor generalmente evalúa la encriptación como punto de control independiente, no como subproducto de otra cosa. La Ley de Ciberseguridad holandesa, que transpone estas obligaciones de NIS2, entra en vigencia el 15 de agosto de 2026; hasta esa fecha, la directiva en sí es el punto de referencia, no la ley nacional.