клиентът пита дали нашите данни са криптирани при съхранение и предаване

Криптирането при съхранение и при пренос са две отделни точки, които трябва да се потвърдят

Въпросът често съдържа две подвъпроса в един: криптиране "at rest" (съхранение) и "in transit" (пренос). Отговорете на всеки от тях отделно, тъй като може да се окаже, че единият е урегулиран, а другият не е — например TLS на всички връзки, но без криптиране на основната база данни. Посочете конкретно кой от двата е попълнен в отговора, вместо един обобщаващ "да".

Какво ви е необходимо, за да потвърдите: използваният протокол за пренос на данни (обикновено TLS 1.2 или по-новия) и методът за съхранение (обикновено AES-256 или еквивалентен). Ако това не е установено в криптографска политика, няма какво да се потвърди — тогава "предстои да бъде определено" е правилният етикет, а не предположение. Това отговаря на въпроса дали съществува политика за използването на криптография и криптиране: без тази политика липсва източникът, на който този отговор може да се опира. Криптирането е свързано и с това, кой има достъп до ключовете; ако за това нищо не е установено, това е индикатор, че и политиката за достъп все още не е пълна.

Защо това се появява отделно в член 21, параграф 2 и Приложение A

Криптирането на данни е посочено като отделна мяра в член 21, параграф 2 на Директива NIS2, между десетте там изброени мерки — следователно това не е обща "добра практика", а конкретна точка на проверка. В ISO/IEC 27001 криптографията се появява като собствена категория в Приложение A, отделно от управлението на достъпа и отделно от непрекъснатостта. Това разделение в източниците е точно причината, поради която клиентските въпросници често представят съхранението и преноса като две подвъпроса: те следват структурата на основната норма.