cómo relleno la pregunta sobre minimización de datos en datos personales

La minimización de datos depende de la política de acceso, no del cifrado

La minimización de datos en sí no aparece como una medida independiente en el artículo 21, apartado 2 de la NIS2 — esas diez medidas se refieren a gestión de riesgos, manejo de incidentes, continuidad empresarial y control de acceso, no a los principios de la RGPD sobre recopilación de datos. Sin embargo, la pregunta suele aparecer en el mismo cuestionario porque los clientes combinan sus evaluaciones de NIS2 y privacidad. La prueba que corresponde aquí no es un registro de tratamiento de la RGPD sino la política de acceso: quién puede acceder a qué datos, y si está limitado a lo necesario para la función. Esto se alinea con la política de acceso incluyendo la gestión de activos — si contiene acceso basado en roles y el principio de «necesidad de saber», suele ser suficiente justificación para un «sí».

Si no tienes una política de minimización de datos separada pero sí un certificado ISO 27001, entonces el Anexo A es una carta más fuerte de lo que crees: las medidas de control sobre restricción de acceso y clasificación de información cubren implícitamente la minimización de datos, sin que tengas que usar la palabra en sí. En ese caso, refiere a el certificado ISO 27001 y deja que el sistema vinule la respuesta a esto. Si no tienes ninguno de los dos, no respondas automáticamente «sí» — completa con lo que sea factualment correcto, incluso si es «no, aún en desarrollo».

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la NIS2 menciona políticas de control de acceso y gestión de activos como dos de las diez medidas obligatorias, sin utilizar el término minimización de datos; ISO/IEC 27001 Anexo A lo desarrolla más mediante las medidas de control sobre restricción de acceso y clasificación de información, y la Ley de Ciberseguridad asume el texto de la NIS2 tal cual cuando entre en vigor el 15 de agosto de 2026.