Se aplică o politică privind utilizarea criptografiei și criptării?

Politica de criptografie este o măsură separată conform articolului 21

Da, aceasta este una dintre cele zece măsuri pe care articolul 21 alineatul 2 NIS2 le menționează: sub litera e se prevede "politică și proceduri privind utilizarea criptografiei și, după caz, criptării". Prin urmare, întrebarea se referă în mod specific la existența unui document care stabilește când și cum se aplică criptarea — nu la întrebarea dacă datele sunt criptate undeva o singură dată. O întrebare cu privire la acest subiect într-un chestionar cere de obicei documentul de politică în sine, nu o implementare tehnică.

Ceea ce se consideră dovadă este de obicei o politică de criptografie sau o secțiune cu privire la aceasta în politica de securitate a informațiilor: ce categorii de date sunt criptate (data at rest, data in transit), ce algoritmi sau standarde sunt minime, și cine decide asupra excepțiilor. Dacă acel document lipsește, atunci "nu" este răspunsul onest — o măsură tehnică separată cum ar fi TLS pe site nu este o politică. Acest subiect este adesea legat de politica de acces și gestionarea activelor corporative, deoarece cerințele de criptare apar de obicei acolo, și de testarea periodică a măsurilor de securitate, deoarece un auditor verifică de obicei dacă politica este și pusă în aplicare.

Unde se regăsește aceasta: articolul 21 alineatul 2 sub litera e

Articolul 21 alineatul 2 NIS2 enumeră zece categorii de măsuri pe care entitățile "trebuie să" adopte cel puțin; sub litera e se prevede politica de criptografie și criptare cu "după caz" — prin urmare, directiva nu prescrie un algoritm specific sau o lungime specifică a cheii, dar obligă o entitate care se încadrează în NIS2 să aibă o politică ponderată cu privire la aceasta. Pentru a determina dacă aceasta se aplică pentru întreprindere, este mai întâi relevant dacă aceasta se încadrează în directiva NIS2 sau în transpunerea acesteia la nivel național: dacă nu, clientul poate totuși pune această întrebare pe cale contractuală, dar atunci nu există o obligație legală care să forțeze răspunsul.