o questionário pergunta onde e como armazenamos os dados do cliente

Local e método de armazenamento: parte do artigo 21, não apenas do RGPD

A pergunta sobre onde e como você armazena os dados do seu cliente geralmente chega como uma questão de privacidade, mas em um questionário NIS2 faz parte das dez medidas do artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555. Em particular, a alínea h (segurança na aquisição, desenvolvimento e manutenção de sistemas) e a alínea i (política de pessoal e política de acesso) tocam diretamente no armazenamento: onde os dados estão localizados fisica ou virtualmente, quem pode acessá-los e esse armazenamento está encriptado. Uma resposta completa menciona, portanto, três coisas: a localização (datacenter próprio, fornecedor em nuvem, qual região), a separação entre ambientes de cliente se você funciona como multi-inquilino, e a encriptação de dados em repouso e em trânsito.

Se você não tiver este último à mão, a resposta não é preencher "sim", mas primeiro verificar o que a política sobre criptografia e encriptação a empresa de fato documenta. Muitas empresas encriptam dados em trânsito (TLS), mas nem sempre em repouso, e essa diferença costuma ser investigada separadamente pelo cliente. Se você trabalha com um fornecedor em nuvem externo, isso também se enquadra na questão de se requisitos de segurança são estabelecidos para fornecedores próprios — a localização do armazenamento é então de fato um acordo de cadeia com esse fornecedor, e sua resposta pode fazer referência ao contrato ou ao SLA com essa parte em vez de à infraestrutura própria.

Onde isto é avaliado na ISO 27001

Quem é certificado em ISO/IEC 27001 já documentou a localização do armazenamento e a encriptação nas medidas do Anexo A sobre criptografia e gestão de ativos; a resposta a esta pergunta pode então simplesmente fazer referência ao certificado e à respetiva Declaração de Aplicabilidade. Sem esse certificado ISO 27001 a resposta deve vir da documentação própria: um panorama de arquitetura, um acordo de processamento com o fornecedor em nuvem, ou uma nota interna sobre residência de dados.