de vragenlijst vraagt of gegevens versleuteld worden verzonden en opgeslagen

Encryptie in rust én in transit, twee losse vragen

Deze vraag valt meestal in tweeën uiteen, en dat is precies waarom hij vaak verkeerd wordt beantwoord: versleuteld verzenden (in transit, bijvoorbeeld TLS bij dataverkeer) en versleuteld opslaan (at rest, bijvoorbeeld schijfversleuteling of database-encryptie) zijn twee verschillende technische maatregelen. Een "ja" op de hele vraag klopt alleen als beide kloppen. Heb je TLS 1.2 of hoger op alle externe verbindingen maar geen encryptie op de opslaglaag, dan is het antwoord gesplitst: ja voor transit, nee of nog te doen voor rest. Vul dat ook zo gesplitst in als het portaal van de klant twee losse velden heeft — en check dat, want veel formats doen dat wel, ook als de oorspronkelijke lijst het als één vraag stelt.

Het bewijsstuk dat hierbij past is het cryptografiebeleid: een document waarin staat welke algoritmes en protocollen de onderneming gebruikt, voor welke gegevenscategorieën, en wie daarover beslist. Heb je dat niet vastgelegd maar wel technisch geïmplementeerd, dan is het antwoord op de vraag zelf vaak nog steeds "ja", maar ontbreekt de onderbouwing die een auditor of klant erbij wil zien. Dat is het moment om het beleid over cryptografie en versleuteling op te stellen vóór je het vakje aanvinkt, niet erna. Zonder dat beleid is "ja, we versleutelen" een technische bewering zonder papieren rug.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Cryptografie en versleuteling staan als aparte maatregel genoemd in artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555), tussen de tien maatregelen die een entiteit minimaal moet nemen — het is dus geen bijzaak naast risicoanalyse of incidentrespons, maar een eigen verplichte categorie. In ISO/IEC 27001 komt hetzelfde onderwerp terug als eigen beheersmaatregel in Annex A, los van de bredere toegangsbeveiliging. Wie werkt aan certificering, doet er goed aan dit gelijk te bekijken naast de vraag of de onderneming ISO 27001-gecertificeerd is, want een auditor toetst versleuteling meestal als apart controlepunt, niet als bijproduct van iets anders. De Nederlandse Cyberbeveiligingswet, die deze NIS2-verplichtingen omzet, treedt op 15 augustus 2026 in werking; tot die datum is de richtlijn zelf het aanknopingspunt, niet de nationale wet.