Was trage ich bei der Frage zur Verschlüsselung von Daten im Speicher und bei der Übertragung ein

Verschlüsselung bei Speicherung und bei Transport sind zwei Kontrollkästchen, nicht eines

Füllen Sie separat aus, ob Daten im Ruhezustand verschlüsselt sind und ob Daten im Transit verschlüsselt sind — eine Liste, die aus einer Frage eine macht, möchte normalerweise trotzdem beide Antworten in der Erläuterung sehen. Für Transport ist TLS 1.2 oder höher die Standard-Erwartung; für Speicherung AES-256 auf Datenbankebene oder vollständige Festplattenverschlüsselung. Falls Sie nur TLS für den Datenverkehr, aber keine Verschlüsselung bei der Speicherung haben, füllen Sie dann "teilweise" oder "nein" bei Speicherung mit einer kurzen Erläuterung aus — nicht "ja", weil die Transportseite zwar stimmt.

Falls Sie dies nicht pro System dokumentiert haben, aber wissen, dass Ihr Cloud-Anbieter (AWS, Azure, Google Cloud) dies standardmäßig auf Infrastrukturebene tut, ist das eine gültige Antwort, vorausgesetzt, Sie beschreiben es so: Verschlüsselung durch den Anbieter, nicht selbst verwaltet. Einige Listen fragen explizit nach Schlüsselverwaltung — wer die Verschlüsselungsschlüssel verwaltet, Sie oder der Anbieter — und das ist eine andere Antwort als die Frage, ob verschlüsselt wird. Im Zweifelsfall, was genau gefragt wird: Überprüfen Sie, ob die Frage Teil eines größeren Blocks über Richtlinie zur Kryptografie und Verschlüsselungist, denn dann wird oft auch die Richtlinie selbst abgefragt, nicht nur die Technik. Falls Sie keine dokumentierte Richtlinie, aber die Technik aktiviert haben, geben Sie diesen Unterschied dann in der Erläuterung an, statt ausweichend zu antworten.

Quelle hierzu: Artikel 21 Absatz 2 NIS2 und Annex A von ISO 27001

Kryptografie und Verschlüsselung werden als separate Maßnahme in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 (NIS2) genannt, neben Maßnahmen zu Zugangsrichtlinien und Netzwerksicherheit — deshalb fragen Kunden dies getrennt von beispielsweise der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcenab. In ISO/IEC 27001 steht Kryptografie als eigene Kontrollmaßnahme in Annex A, getrennt von den Maßnahmen zu Informationssystemen allgemein. Das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2, tritt voraussichtlich am 15. August 2026 in Kraft; bis dahin ist die Richtlinie selbst der Ausgangspunkt für diejenigen, die bereits Fragebogen hierüber erhalten.