el cuestionario quiere saber si clasificamos los datos por sensibilidad

La clasificación de datos forma parte de la política de acceso y la gestión de activos

Sí, esta es una pregunta reconocible, y generalmente la respuesta es que la clasificación de datos por sensibilidad existe como parte de una política más amplia, no como documento independiente. En términos de NIS2, esto cae bajo las medidas de gestión de activos y política de acceso: saber qué datos tienes, dónde están y quién puede acceder a ellos. Sin clasificación, es difícil fundamentar la política de acceso — no puedes decir quién puede acceder a «datos sensibles» si nunca has documentado qué entra en esa categoría. Los cuestionarios que preguntan sobre clasificación generalmente esperan una respuesta breve sobre niveles (por ejemplo, público, interno, confidencial, estrictamente confidencial) y sobre quién asigna esos niveles.

Si no lo has documentado, entonces «no» es la respuesta honesta, y eso en sí mismo no es un problema para el cuestionario. Muchos proveedores más pequeños trabajan de manera informal: los datos se distinguen, pero no según un esquema escrito. En ese caso, es mejor responder «no» que inventar una clasificación que no existe. Este tema está estrechamente relacionado con la política de acceso y la gestión de activos — si ya existe una respuesta en ese apartado, es probable que la clasificación esté implícita en ella y que puedas complementar esa respuesta en lugar de reconstruirla desde cero. También es relevante si existe política sobre criptografía y cifrado es, porque los niveles de clasificación a menudo determinan qué datos se cifran.

Dónde se encuentra exactamente: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva NIS2 menciona la gestión de activos y el control de acceso como dos de las diez medidas obligatorias; la clasificación de datos es su implementación práctica. En ISO/IEC 27001 Anexo A figuran medidas de control explícitas para la clasificación de información y el etiquetado de activos — ese es el lugar de referencia más directo si un cliente pregunta por una referencia de norma. La Ley de Ciberseguridad, que transpone la Directiva en los Países Bajos y entra en vigor el 15 de agosto de 2026, sigue la misma clasificación de medidas.