que dois-je remplir à la question sur le chiffrement des données au repos et en transit

Le chiffrement en stockage et en transport sont deux cases à cocher, non pas une

Indiquez séparément si les données au repos sont chiffrées et si les données en transit sont chiffrées — une liste qui en fait une seule question voudra généralement quand même voir les deux réponses dans l'explication. Pour le transport, TLS 1.2 ou supérieur est l'attente standard ; pour le stockage, AES-256 au niveau de la base de données ou chiffrement de disque complet. Si vous avez uniquement TLS pour le trafic mais pas de chiffrement du stockage, indiquez alors « partiellement » ou « non » au stockage avec une brève explication — pas « oui » car le côté transport est correct.

Si vous n'avez pas documenté cela par système mais savez que votre fournisseur de services cloud (AWS, Azure, Google Cloud) le fait par défaut au niveau de l'infrastructure, c'est une réponse valable, à condition que vous le décriviez ainsi : chiffrement par le fournisseur, non géré en interne. Certaines listes demandent explicitement la gestion des clés — qui gère les clés de chiffrement, vous ou le fournisseur — et c'est une autre réponse que la question de savoir si les données sont chiffrées. En cas de doute sur ce qui est exactement demandé : vérifiez si la question fait partie d'un bloc plus large sur politique de cryptographie et de chiffrement, car alors la politique elle-même est souvent également demandée, pas seulement la technique. Si vous n'avez pas de politique documentée mais que vous avez bien la technique activée, indiquez cette différence dans l'explication au lieu de donner une réponse imprécise.

D'où cela vient : article 21 paragraphe 2 NIS2 et Annexe A d'ISO 27001

La cryptographie et le chiffrement sont mentionnés comme mesure distincte à l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 (NIS2), à côté des mesures concernant la politique d'accès et la sécurité des réseaux — d'où le fait que les clients posent cette question séparément de par exemple la politique d'accès et de la gestion des actifs. Dans ISO/IEC 27001, la cryptographie est une mesure de contrôle distincte à l'Annexe A, séparée des mesures concernant les systèmes d'information en général. La Loi sur la cybersécurité, la transposition néerlandaise de NIS2, devrait entrer en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même est le point de départ pour ceux qui reçoivent déjà des questionnaires à ce sujet.