el cliente pregunta si nuestros datos están cifrados durante el almacenamiento y la transmisión

El cifrado en almacenamiento y transporte son dos puntos a confirmar por separado

La pregunta suele contener dos subpreguntas en una: encriptación "at rest" (almacenamiento) e "in transit" (transmisión). Responde a cada una de forma independiente, porque puede ocurrir que una esté regulada y la otra no — por ejemplo, TLS en todas las conexiones, pero sin cifrado de la base de datos subyacente. Indica en la respuesta de forma concreta cuál de las dos se ha cubierto, en lugar de un "sí" resumido único.

Lo que necesitas para confirmar: el protocolo utilizado para el tráfico de datos (normalmente TLS 1.2 o superior) y el método de almacenamiento (normalmente AES-256 o equivalente). Si esto no está regulado en una política criptográfica, no hay nada que confirmar — entonces "por determinar" es la etiqueta correcta, no una suposición fundamentada. Esto se alinea con la pregunta sobre si existe una política en el uso de criptografía y cifrado: sin esa política, falta la fuente en la que se puede basar esta respuesta. El cifrado también está vinculado con quién tiene acceso a las claves; si no hay nada regulado al respecto, es una indicación de que la política de acceso aún no está completa.

Por qué esto vuelve a aparecer en el artículo 21 apartado 2 y en el Anexo A

El cifrado de datos se menciona como medida individual en el artículo 21 apartado 2 de la Directiva NIS2, entre las diez medidas enumeradas en el mismo — esto no es por tanto una "buena práctica" general sino un criterio específico. En ISO/IEC 27001, la criptografía vuelve a aparecer como categoría propia en el Anexo A, separada del control de acceso y separada de la continuidad. Esa separación en las fuentes es precisamente por qué las listas de verificación de los clientes suelen formular almacenamiento y transmisión como dos subpreguntas: siguen la estructura de la norma subyacente.