Der Fragebogen fragt, ob Daten verschlüsselt übertragen und gespeichert werden

Verschlüsselung im Ruhezustand und während der Übertragung, zwei separate Fragen

Diese Frage zerfällt in der Regel in zwei Teile, und genau deshalb wird sie häufig falsch beantwortet: verschlüsselte Übertragung (in transit, beispielsweise TLS bei Datenverkehr) und verschlüsselte Speicherung (at rest, beispielsweise Festplattenverschlüsselung oder Datenbankverschlüsselung) sind zwei unterschiedliche technische Maßnahmen. Ein "Ja" auf die gesamte Frage ist nur korrekt, wenn beide zutreffen. Wenn du TLS 1.2 oder höher auf allen externen Verbindungen hast, aber keine Verschlüsselung auf der Speicherebene, dann ist die Antwort aufgeteilt: Ja für Transit, Nein oder noch zu tun für Rest. Füll das auch so aufgeteilt aus, wenn das Portal deines Kunden zwei separate Felder hat — und überprüf das, denn viele Formate tun das, auch wenn die ursprüngliche Liste es als eine Frage stellt.

Das passende Beweismittel dazu ist die Kryptografiestrategie: ein Dokument, das festlegt, welche Algorithmen und Protokolle das Unternehmen verwendet, für welche Datenkategorien und wer darüber entscheidet. Wenn du das nicht dokumentiert, aber technisch implementiert hast, ist die Antwort auf die Frage selbst oft dennoch "Ja", aber es fehlt die Begründung, die ein Auditor oder Kunde dabei sehen möchte. Das ist der Moment, um die Richtlinie zur Kryptografie und Verschlüsselung aufzustellen, bevor du das Feld ankreuzt, nicht danach. Ohne diese Strategie ist "Ja, wir verschlüsseln" eine technische Aussage ohne schriftliche Grundlage.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Kryptographie und Verschlüsselung werden als separate Maßnahme in Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) aufgeführt, unter den zehn Maßnahmen, die ein Unternehmen mindestens ergreifen muss — es ist also keine Nebensache neben Risikoanalyse oder Incident Response, sondern eine eigene verbindliche Kategorie. In ISO/IEC 27001 erscheint dasselbe Thema als eigenständige Kontrollmaßnahme in Annex A, getrennt von der umfassenderen Zugriffskontrolle. Wer sich um eine Zertifizierung bemüht, tut gut daran, dies gleichzeitig zu betrachten neben der Frage, ob das Unternehmen ISO 27001-zertifiziert ist, denn ein Auditor prüft Verschlüsselung normalerweise als separaten Kontrollpunkt, nicht als Nebenprodukt von etwas anderem. Das niederländische Cybersicherheitsgesetz, das diese NIS2-Verpflichtungen umsetzt, tritt am 15. August 2026 in Kraft; bis zu diesem Datum ist die Richtlinie selbst der Anknüpfungspunkt, nicht das nationale Gesetz.