Czy wdrażana jest polityka dotycząca kryptografii i szyfrowania?

Polityka kryptografii jest odrębnym środkiem w ramach artykułu 21

Tak, jest to jeden z dziesięciu środków wymienionych w artykule 21 ust. 2 dyrektywy NIS2: w punkcie e znajduje się "polityka i procedury dotyczące stosowania kryptografii i, w stosownych przypadkach, szyfrowania". Pytanie dotyczy zatem konkretnie tego, czy istnieje dokument określający, kiedy i jak stosowane jest szyfrowanie — nie dotyczy ono pytania, czy gdzieś dane zostały kiedykolwiek zaszyfrowane. Pytanie na ten temat w kwestionariuszu zwykle dotyczy samego dokumentu polityki, a nie implementacji technicznej.

Dowód zwykle stanowi polityka kryptografii lub sekcja poświęcona jej w polityce bezpieczeństwa informacji: które kategorie danych są szyfrowane (dane w stanie spoczynku, dane przesyłane), jakie algorytmy lub standardy stanowią minimum, i kto decyduje o wyjątkach. Jeśli taki dokument brakuje, to "nie" jest uczciwą odpowiedzią — odrębny środek techniczny, taki jak TLS na stronie internetowej, nie stanowi polityki. Ten temat често jest powiązany z polityką dostępu i zarządzaniem zasobami firmy, ponieważ wymogi dotyczące szyfrowania często się w nich pojawiają, i z okresowymi testami środków bezpieczeństwa, ponieważ audytor zwykle sprawdza, czy polityka jest również wdrażana.

Gdzie to się znajduje: artykuł 21 ust. 2 pkt e

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć kategorii środków, które podmioty "muszą" zastosować; w punkcie e znajduje się kryptografia i polityka szyfrowania z zastrzeżeniem "w stosownych przypadkach" — dyrektywa zatem nie przepisuje konkretnego algorytmu ani konkretnej długości klucza, ale wymaga, aby podmiot objęty dyrektywą NIS2 miał w tej sprawie przemyślaną politykę. Aby ustalić, czy dotyczy to samego przedsiębiorstwa, najpierw należy sprawdzić, czy podlega ono samodzielnie dyrektywie NIS2 lub jej krajowej transpozycji: jeśli nie, klient może nadal postawić to pytanie umownie, ale wtedy nie ma obowiązku prawnego, który zmusiłby odpowiedź.