Existe política sobre a utilização de criptografia e encriptação?

A política de criptografia é uma medida individual sob o artigo 21

Sim, esta é uma das dez medidas mencionadas no artigo 21.º, n.º 2 da NIS2: na alínea e consta "política e procedimentos relativos à utilização de criptografia e, se apropriado, encriptação". A questão refere-se especificamente a se existe um documento que estabeleça quando e como a encriptação é aplicada — não se trata de saber se os dados são encriptados uma vez ou outra em algum lado. Uma questão sobre isto numa lista de verificação normalmente interroga o documento político em si, não sobre uma implementação técnica.

O que conta como prova é normalmente uma política de criptografia ou uma secção sobre a mesma na política de segurança da informação: que categorias de dados são encriptadas (dados em repouso, dados em trânsito), que algoritmos ou normas se aplicam como mínimo, e quem decide sobre exceções. Na ausência desse documento, "não" é a resposta honesta — uma medida técnica individual como TLS no sítio web não é uma política. Este tema está frequentemente relacionado com a política de acesso e gestão de ativos da organização, porque os requisitos de encriptação frequentemente surgem aí, e com os testes periódicos de medidas de segurança, porque um auditor normalmente verifica se a política também é aplicada.

Onde isto consta: artigo 21.º, n.º 2, alínea e

O artigo 21.º, n.º 2 da NIS2 enumera dez categorias de medidas que as entidades "devem" tomar no mínimo; na alínea e consta a política de criptografia e encriptação com "se apropriado" — a diretiva portanto não prescreve um algoritmo específico ou um comprimento de chave específico, mas obriga uma entidade abrangida pela NIS2 a ter uma política refletida sobre isto. Para a questão de se isto se aplica à própria empresa, é primeiro relevante se ela está abrangida pela diretiva NIS2 ou pela transposição nacional da mesma: se estiver fora do âmbito, um cliente pode colocar esta questão contratualmente de qualquer forma, mas então não há uma obrigação legal que force a resposta.