o que preencho na pergunta sobre encriptação de dados em repouso e em trânsito

Encriptação em armazenamento e em transporte são duas caixas de seleção, não uma

Preencha separadamente se os dados em repouso são encriptados e se os dados em trânsito são encriptados — uma lista que faz de uma pergunta dois, normalmente ainda quer ver ambas as respostas na justificação. Para transporte, TLS 1.2 ou superior é o padrão esperado; para armazenamento, AES-256 ao nível da base de dados ou encriptação de disco completo. Se tem apenas TLS para o tráfego mas sem encriptação no armazenamento, preencha "parcialmente" ou "não" no armazenamento com uma breve justificação — não "sim" porque o transporte está correto.

Se não tem isto registado por sistema mas sabe que o seu fornecedor de cloud (AWS, Azure, Google Cloud) o faz por padrão ao nível da infraestrutura, é uma resposta válida, desde que o descreva assim: encriptação pelo fornecedor, não gerida internamente. Algumas listas perguntam explicitamente sobre gestão de chaves — quem gere as chaves de encriptação, você ou o fornecedor — e é uma resposta diferente da pergunta se há encriptação. Em caso de dúvida sobre o que é exatamente perguntado: veja se a pergunta faz parte de um bloco mais amplo sobre política de criptografia e encriptação, porque então muitas vezes também se pergunta sobre a política em si, não apenas sobre a técnica. Se não tem uma política registada mas tem a técnica ligada, indique essa diferença na justificação em vez de dar uma resposta evasiva.

De onde vem isto: artigo 21.º, n.º 2, NIS2 e Anexo A da ISO 27001

Criptografia e encriptação estão mencionadas como medida separada no artigo 21.º, n.º 2, da Diretiva (UE) 2022/2555 (NIS2), ao lado de medidas sobre política de acesso e segurança de rede — por isso os clientes perguntam isto separadamente de, por exemplo, a política de acesso e a gestão de ativos. Na ISO/IEC 27001, criptografia é uma medida de controlo própria no Anexo A, separada das medidas sobre sistemas de informação em geral. A Lei de Segurança Cibernética, a transposição holandesa da NIS2, deverá entrar em vigor em 15 de agosto de 2026; até essa data, a diretiva em si é o ponto de partida para quem já recebe questionários sobre isto.