Kunde fragt, ob unsere Daten bei der Speicherung und beim Versand verschlüsselt sind

Verschlüsselung bei der Speicherung und beim Transport sind zwei separate Bestätigungspunkte

Die Frage enthält häufig zwei Teilfragen in einer: Verschlüsselung "at rest" (Speicherung) und "in transit" (Versand). Beantworten Sie diese getrennt voneinander, denn es kommt vor, dass die eine geregelt ist und die andere nicht — beispielsweise TLS auf allen Verbindungen, aber keine Verschlüsselung der zugrunde liegenden Datenbank. Geben Sie in der Antwort konkret an, welche der beiden ausgefüllt ist, anstatt eine zusammenfassende "ja".

Was Sie benötigen, um zu bestätigen: das verwendete Protokoll für Datenverkehr (normalerweise TLS 1.2 oder höher) und die Methode für die Speicherung (normalerweise AES-256 oder gleichwertiges Verfahren). Wenn dies nicht in einer Kryptografie-Richtlinie festgehalten ist, gibt es nichts zu bestätigen — dann ist "noch zu bestimmen" das richtige Label, nicht eine geschätzte Annahme. Dies stimmt mit der Frage überein ob es eine Richtlinie zur Verwendung von Kryptografie und Verschlüsselung gibt: ohne diese Richtlinie fehlt die Quelle, auf die sich diese Antwort stützen kann. Verschlüsselung hängt auch damit zusammen, wer Zugriff auf die Schlüssel hat; wenn darüber nichts festgelegt ist, ist das ein Hinweis darauf, dass auch die Zugriffskontrollrichtlinie noch nicht vollständig ist.

Warum dies separat in Artikel 21 Absatz 2 und Annex A zurückkommt

Datenverschlüsselung wird als eigenständige Maßnahme in Artikel 21 Absatz 2 der NIS2-Richtlinie genannt, zwischen den dort aufgelisteten zehn Maßnahmen — dies ist also keine allgemeine "Best Practice", sondern ein spezifischer Prüfpunkt. In ISO/IEC 27001 taucht Kryptografie als eigene Kategorie in Annex A auf, getrennt von Zugriffskontrolle und getrennt von Kontinuität. Diese Trennung in den Quellen ist genau der Grund, warum Kundenfragelisten Speicherung und Versand häufig als zwei Unterfragen stellen: Sie folgen der Struktur der zugrunde liegenden Norm.