Wordt er beleid gevoerd over het gebruik van cryptografie en versleuteling?

Cryptografiebeleid is een losse maatregel onder artikel 21

Ja, dit is een van de tien maatregelen die artikel 21 lid 2 NIS2 noemt: onder e staat "beleid en procedures betreffende het gebruik van cryptografie en, waar passend, encryptie". De vraag gaat dus specifiek over of er een document is dat vastlegt wanneer en hoe versleuteling wordt toegepast — niet over de vraag of er ergens een keer data versleuteld wordt. Een vraag hierover in een vragenlijst vraagt meestal naar het beleidsstuk zelf, niet naar een technische implementatie.

Wat als bewijsstuk telt, is doorgaans een cryptografiebeleid of een sectie daarover in het informatiebeveiligingsbeleid: welke gegevenscategorieën versleuteld worden (data at rest, data in transit), welke algoritmen of standaarden als minimum gelden, en wie beslist over uitzonderingen. Ontbreekt dat document, dan is "nee" het eerlijke antwoord — een losse technische maatregel zoals TLS op de website is geen beleid. Dit onderwerp hangt vaak samen met het toegangsbeleid en beheer van bedrijfsmiddelen, omdat encryptie-eisen daar vaak in terugkomen, en met de periodieke toetsing van beveiligingsmaatregelen, omdat een auditor doorgaans checkt of het beleid ook wordt toegepast.

Waar dit staat: artikel 21 lid 2 onder e

Artikel 21 lid 2 NIS2 somt tien categorieën maatregelen op die entiteiten "ten minste" moeten nemen; onder e staat cryptografie en encryptiebeleid met "waar passend" — de richtlijn schrijft dus geen specifiek algoritme of specifieke sleutellengte voor, maar verplicht wel dat een entiteit die onder NIS2 valt, hierover een afgewogen beleid heeft. Voor de vraag of dat voor de onderneming zelf geldt, is eerst relevant of ze zelf onder de NIS2-richtlijn of de nationale omzetting daarvan valt: valt zij daarbuiten, dan kan een klant deze vraag alsnog contractueel stellen, maar dan is er geen wettelijke verplichting die het antwoord dwingt.