Vede podnik politiku používání kryptografie a šifrování?

Politika kryptografie je samostatné opatření podle článku 21

Ano, toto je jedno z deseti opatření, která zmiňuje článek 21 odst. 2 NIS2: pod písmenem e je uvedeno "politika a postupy týkající se používání kryptografie a v případě potřeby šifrování". Otázka se tedy konkrétně zabývá tím, zda existuje dokument, který stanovuje, kdy a jak se šifrování používá — nejedná se o otázku, zda se někde data jednou zašifrují. Otázka v dotazníku se obvykle týká samotného politického dokumentu, nikoli technické implementace.

Co se počítá jako důkaz, je obvykle politika kryptografie nebo jejich část v politice bezpečnosti informací: které kategorie dat se šifrují (data v klidu, data při přenosu), které algoritmy nebo normy platí jako minimum, a kdo rozhoduje o výjimkách. Pokud tento dokument chybí, pak je "ne" čestná odpověď — samostatné technické opatření, jako je TLS na webu, není politika. Toto téma často souvisí s politikou přístupu a správou firemních aktiv, protože požadavky na šifrování se tam často objevují, a s periodickým testováním bezpečnostních opatření, protože auditor obvykle kontroluje, zda se politika také používá.

Kde se to nachází: článek 21 odstavec 2 písmo e

Článek 21 odstavec 2 NIS2 vyjmenovává deset kategorií opatření, která musí subjekty přijmout "nejméně"; pod písmenem e je uvedena kryptografie a zásady šifrování s výrazem "kde je to vhodné" — směrnice tedy nepředepisuje konkrétní algoritmus ani konkrétní délku klíče, ale zavazuje subjekt, který podléhá NIS2, aby měl promyšlenou politiku v této oblasti. Aby bylo možné určit, zda se jedná o samotný podnik, je nejdříve relevantní, zda podléhá NIS2 směrnici nebo její národní transpozici: pokud ne, může zákazník tuto otázku stále vznesl smluvně, ale neexistuje žádná právní povinnost, která by odpověď vynucovala.