el cuestionario pregunta si los portátiles están encriptados, cómo estoy seguro de eso

El cifrado de disco es parte de la política de criptografía, no una casilla independiente

La pregunta sobre portátiles cifrados es una subpregunta dentro de la política más amplia política sobre criptografía y cifradoAsegurar que un portátil está cifrado significa en la práctica: BitLocker (Windows) o FileVault (macOS) está aplicado centralmente a través de la política MDM o Intune, no como una configuración independiente que un usuario pueda activar o desactivar. La prueba que más cuenta aquí es una exportación de ese entorno de gestión con el estado de cifrado por dispositivo — no una captura de pantalla de un portátil. Si no tienes esa exportación, entonces "no" o "desconocido" es la respuesta honesta; un documento de política de TI independiente sin datos de dispositivos no responde la pregunta.

Presta atención a la distinción que muchas listas hacen entre "policy" y "enforced": una regla de política que dice que el cifrado es obligatorio es algo diferente de un control técnico que bloquea los dispositivos sin cifrar al iniciar sesión. Si tu cliente pregunta específicamente por "full disk encryption", una carpeta contenedora cifrada o solo una contraseña del sistema operativo no cuentan. Esto también afecta a la política de acceso y gestión de activos de la empresa: sin un inventario actualizado de qué portátiles hay (asset management), tampoco puedes demostrar que todos están cifrados — entonces solo puedes decir que existe la política, no que la cobertura es del cien por cien.

Dónde aparece esto en NIS2 e ISO 27001

La criptografía se menciona como medida separada en el artículo 21, apartado 2 de la Directiva NIS2, bajo la política de uso de criptografía y, cuando sea pertinente, cifrado — una de las diez medidas que enumera la Directiva. En ISO/IEC 27001 esto entra dentro de las medidas de control en el Anexo A que se ocupan específicamente de los controles criptográficos. Ambos marcos exigen una política establecida más su aplicación demostrable; solo el documento de política no es suficiente como prueba, la aplicación técnica tiene el mismo peso.