le client demande si nos données sont chiffrées lors du stockage et de la transmission

Le chiffrement lors du stockage et du transport sont deux points à confirmer séparément

La question contient souvent deux sous-questions en une : le chiffrement « at rest » (stockage) et « in transit » (transmission). Répondez-y séparément, car il arrive que l'un soit réglé et l'autre non — par exemple TLS sur toutes les connexions, mais pas de chiffrement de la base de données sous-jacente. Indiquez concrètement dans la réponse lequel des deux a été rempli, au lieu de donner un seul « oui » résumé.

Ce qu'il vous faut pour confirmer : le protocole utilisé pour le trafic de données (généralement TLS 1.2 ou supérieur) et la méthode de stockage (généralement AES-256 ou équivalent). Si cela n'est pas consigné dans une politique de chiffrement, il n'y a rien à confirmer — dans ce cas, « à déterminer » est le libellé approprié, non une estimation fondée. Ceci s'aligne sur la question s'il existe une politique relative à l'utilisation de la cryptographie et du chiffrement: sans cette politique, la source sur laquelle cette réponse peut s'appuyer fait défaut. Le chiffrement est également lié à la question de savoir qui a accès aux clés ; si rien n'est consigné à ce sujet, c'est un indice que la politique d'accès n'est pas non plus complète.

Pourquoi cela réapparaît dans l'article 21, paragraphe 2 et l'annexe A

Le chiffrement des données est mentionné comme mesure distincte à l'article 21, paragraphe 2 de la directive NIS2, entre les dix mesures y énumérées — ce n'est donc pas une « bonne pratique » générale mais un point de contrôle spécifique. En ISO/IEC 27001, la cryptographie réapparaît comme catégorie propre dans l'annexe A, distincte de la gestion d'accès et distincte de la continuité. Cette séparation dans les sources explique précisément pourquoi les listes de questions des clients présentent souvent le stockage et la transmission comme deux sous-questions : elles suivent la structure de la norme sous-jacente.