klant vraagt of onze data versleuteld is tijdens opslag en verzenden

Versleuteling tijdens opslag en transport zijn twee apart te bevestigen punten

De vraag bevat vaak twee deelvragen in één: encryptie "at rest" (opslag) en "in transit" (verzending). Beantwoord ze los van elkaar, want het komt voor dat het één wel geregeld is en het ander niet — bijvoorbeeld TLS op alle verbindingen, maar geen versleuteling van de onderliggende database. Zeg in het antwoord concreet welke van de twee is ingevuld, in plaats van één samenvattend "ja".

Wat je nodig hebt om te bevestigen: het gebruikte protocol voor dataverkeer (meestal TLS 1.2 of hoger) en de methode voor opslag (meestal AES-256 of gelijkwaardig). Als dit niet is vastgelegd in een crypto-beleid, is er niets om te bevestigen — dan is "nog te bepalen" het juiste label, niet een educated guess. Dit sluit aan bij de vraag of er beleid is over het gebruik van cryptografie en versleuteling: zonder dat beleid ontbreekt de bron waarop dit antwoord kan steunen. Versleuteling hangt ook samen met wie er toegang heeft tot de sleutels; als daar niets over is vastgelegd, is dat een aanwijzing dat ook het toegangsbeleid nog niet compleet is.

Waarom dit apart terugkomt in artikel 21 lid 2 en Annex A

Versleuteling van gegevens staat als losse maatregel genoemd in artikel 21 lid 2 van de NIS2-richtlijn, tussen de tien daar opgesomde maatregelen — dit is dus geen algemene "goede praktijk" maar een specifiek toetspunt. In ISO/IEC 27001 komt cryptografie terug als eigen categorie in Annex A, los van toegangsbeheer en los van continuïteit. Die scheiding in de bronnen is precies waarom klantvragenlijsten opslag en verzending vaak als twee sub-vragen stellen: ze volgen de structuur van de onderliggende norm.