il questionario chiede se i dati vengono trasmessi e archiviati in forma crittografata

Crittografia in transito e a riposo, due domande separate

Questa domanda si divide di solito in due parti, ed è proprio per questo che spesso riceve una risposta scorretta: trasmissione crittografata (in transito, ad esempio TLS nel traffico dati) e archiviazione crittografata (a riposo, ad esempio crittografia del disco o crittografia del database) sono due misure tecniche diverse. Una risposta "sì" all'intera domanda è corretta solo se entrambe sono vere. Se hai TLS 1.2 o superiore su tutti i collegamenti esterni ma nessuna crittografia a livello di archiviazione, la risposta è divisa: sì per il transito, no o ancora da fare per il riposo. Compila anche in modo separato se il portale del cliente ha due campi distinti — e verifica questo, perché molti formati lo fanno anche se l'elenco originale presenta come un'unica domanda.

La prova che si accompagna a questo è la politica di crittografia: un documento che specifica quali algoritmi e protocolli l'azienda utilizza, per quali categorie di dati e chi decide al riguardo. Se non l'hai documentato ma l'hai implementato tecnicamente, la risposta alla domanda stessa è spesso comunque "sì", ma manca la giustificazione che un auditor o un cliente vuole vedere. Questo è il momento per la política sulla crittografia e la cifratura stendere prima di spuntare la casella, non dopo. Senza tale politica, "sì, crittografiamo" è un'affermazione tecnica senza supporto documentale.

Fonte: articolo 21 paragrafo 2 e Allegato A

Crittografia e crittografia sono citate come misura separata nell'articolo 21, paragrafo 2, della Direttiva NIS2 (Direttiva (UE) 2022/2555), tra le dieci misure minime che un'entità deve adottare — quindi non è una questione secondaria accanto all'analisi dei rischi o alla risposta agli incidenti, ma una categoria obbligatoria a sé stante. In ISO/IEC 27001 lo stesso argomento riappare come misura di controllo separata nell'allegato A, indipendentemente dalla più ampia sicurezza dell'accesso. Chi lavora su una certificazione farebbe bene a considerare questo insieme a si chiede se l'azienda è certificata ISO 27001, perché un auditor verifica di solito la crittografia come punto di controllo separato, non come sottoprodotto di qualcos'altro. La legge olandese sulla sicurezza informatica, che recepisce questi obblighi NIS2, entra in vigore il 15 agosto 2026; fino a quella data, la direttiva stessa è il punto di riferimento, non la legge nazionale.