L'impresa ha una politica sull'uso della crittografia e della cifratura?

La politica sulla crittografia è una misura autonoma ai sensi dell'articolo 21

Sì, questa è una delle dieci misure menzionate dall'articolo 21, paragrafo 2, NIS2: alla lettera e recita "politica e procedure relative all'uso della crittografia e, ove opportuno, alla cifratura". La domanda riguarda quindi specificamente se esiste un documento che stabilisca quando e come viene applicata la cifratura — non la questione se i dati vengono cifrati una volta da qualche parte. Una domanda su questo argomento in un questionario di solito chiede il documento di politica stesso, non un'implementazione tecnica.

Ciò che conta come prova è in genere una politica sulla crittografia o una sezione al riguardo nella politica sulla sicurezza delle informazioni: quali categorie di dati vengono cifrate (dati a riposo, dati in transito), quali algoritmi o standard sono il minimo richiesto e chi decide le eccezioni. Se il documento manca, allora "no" è la risposta onesta — una misura tecnica autonoma come TLS sul sito web non è una politica. Questo argomento è spesso collegato a la politica di accesso e la gestione dei beni aziendali, perché i requisiti di crittografia spesso ricorrono lì, e a il test periodico delle misure di sicurezza, perché un revisore di solito verifica se la politica è anche applicata.

Dove si trova: articolo 21, paragrafo 2, lettera e

L'articolo 21, paragrafo 2, NIS2 elenca dieci categorie di misure che gli enti devono "almeno" adottare; alla lettera e figura la politica sulla crittografia e la cifratura con "ove opportuno" — la direttiva non prescrive quindi un algoritmo specifico o una lunghezza di chiave specifica, ma obbliga comunque un ente che rientra nel NIS2 ad avere una politica ponderata al riguardo. Per la domanda se ciò vale per l'azienda stessa, è innanzitutto rilevante se essa stessa rientra nella direttiva NIS2 o nella relativa attuazione nazionale: se ne rimane fuori, il cliente può comunque porre questa domanda contrattualmente, ma allora non vi è alcun obbligo legale che forzi la risposta.