cosa compilo alla domanda sulla crittografia dei dati in archiviazione e in transito

La crittografia in archiviazione e in transito sono due caselle, non una

Compila separatamente se i dati inattivi sono crittografati e se i dati in transito sono crittografati — un elenco che ne fa una sola domanda di solito vuole comunque entrambe le risposte nella giustificazione. Per il transito, TLS 1.2 o versioni successive sono lo standard previsto; per l'archiviazione AES-256 a livello di database o crittografia completa del disco. Se hai solo TLS per il traffico ma nessuna crittografia nell'archiviazione, allora compila "parzialmente" o "no" nell'archiviazione con una breve giustificazione — non "sì" perché il lato del transito è corretto.

Se non l'hai documentato per sistema ma sai che il tuo fornitore di cloud (AWS, Azure, Google Cloud) lo fa di standard a livello di infrastruttura, è una risposta valida, a condizione che la descrivi così: crittografia dal fornitore, non gestita da te. Alcuni elenchi chiedono esplicitamente della gestione delle chiavi — chi gestisce le chiavi di crittografia, tu o il fornitore — e questa è una risposta diversa dalla domanda se i dati sono crittografati. In caso di dubbio su cosa viene richiesto esattamente: verifica se la domanda fa parte di un blocco più ampio su politica di crittografia e crittografia, perché allora spesso viene richiesta anche la politica stessa, non solo la tecnica. Se non hai una politica documentata ma hai comunque la tecnica attiva, allora indicalo nella giustificazione invece di rispondere in modo vago.

Da dove viene: articolo 21 paragrafo 2 NIS2 e Annex A di ISO 27001

La crittografia è menzionata come misura separata nell'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 (NIS2), accanto alle misure sulla politica di accesso e la sicurezza della rete — per questo motivo i clienti la chiedono separatamente da ad esempio la politica di accesso e la gestione dei beni aziendali. In ISO/IEC 27001 la crittografia figura come misura di controllo indipendente nell'Annex A, separata dalle misure sui sistemi informativi in generale. La Legge sulla cibersicurezza, l'attuazione olandese di NIS2, entrerà in vigore presumibilmente il 15 agosto 2026; fino a tale data la direttiva stessa è il punto di riferimento per chi riceve già questionari al riguardo.