Føres der politik for brug af kryptografi og kryptering?

Kryptografiepolitik er en separat foranstaltning under artikel 21

Ja, dette er en af de ti foranstaltninger, som artikel 21 stk. 2 NIS2 nævner: under e står "politik og procedurer vedrørende brugen af kryptografi og, hvor det er relevant, kryptering". Spørgsmålet handler således specifikt om, hvorvidt der foreligger et dokument, der fastlægger, hvornår og hvordan kryptering anvendes — ikke om, hvorvidt der på et eller andet tidspunkt krypteres data. Et spørgsmål herom i en spørgeskema anmoder som regel efter policypapiret selv, ikke efter en teknisk implementering.

Hvad der tæller som bevis, er normalt en kryptografiepolitik eller et afsnit herom i informationssikkerhedspolitikken: hvilke datakategorier der krypteres (data at rest, data in transit), hvilke algoritmer eller standarder der gælder som minimum, og hvem der træffer beslutning om undtagelser. Hvis dette dokument mangler, er "nej" det ærlige svar — en separat teknisk foranstaltning som TLS på hjemmesiden er ikke en politik. Dette emne hænger ofte sammen med adgangskontrol og forvaltning af virksomhedsmidler, da krypteringskrav ofte optræder deri, og med den periodiske test af sikkerhedsforanstaltninger, da en revisor normalt kontrollerer, om politikken også bliver gennemført.

Hvor dette står: artikel 21 stk. 2 under e

Artikel 21 stk. 2 NIS2 opregner ti kategorier af foranstaltninger, som enheder "mindst" skal iværksætte; under e står kryptografi og krypteringspolitik med "hvor det er relevant" — direktivet foreskriver således ikke en specifik algoritme eller bestemt nøglelængde, men forpligter entiteten til at have en velovervejet politik herom, hvis den falder ind under NIS2. For at afgøre, om det gælder virksomheden selv, er det først relevant, om hun selv falder ind under NIS2-direktivet eller dets nationale gennemførelse: hvis hun falder uden for, kan en kunde stadig stille dette spørgsmål kontraktligt, men der er ingen retlig forpligtelse, der tvinger svaret.