Má podnik politiku používania kryptografie a šifrovania?

Politika kryptografie je samostatným opatrením podľa článku 21

Áno, toto je jedno z desiatich opatrení, ktoré článok 21 odsek 2 smernice NIS2 uvádza: pod písmenom e sa uvádza "politika a postupy týkajúce sa používania kryptografie a, ak je to vhodné, šifrovania". Otázka sa teda konkrétne zaoberá tým, či existuje dokument, ktorý stanovuje, kedy a ako sa šifrovanie uplatňuje — nie otázkou, či sa gde niekde údaje šifrujú. Otázka o tom v dotazníku sa zvyčajne pýta na samotný politický dokument, nie na technickú implementáciu.

Ako dôkazný materiál sa zvyčajne počíta politika kryptografie alebo jej časť v politike bezpečnosti informácií: ktoré kategórie údajov sa šifrujú (údaje v pokoji, údaje v prenosе), ktoré algoritmy alebo normy sa považujú za minimálne, a kto rozhoduje o výnimkách. Ak chýba tento dokument, potom je "nie" poctivou odpoveďou — samostatné technické opatrenie ako TLS na webovej stránke nie je politika. Táto téma sa často súvisí s politikou prístupu a riadením podnikateľských prostriedkov, pretože požiadavky na šifrovanie sa tam často objavujú, a s periodickým testovaním bezpečnostných opatrení, pretože audítor zvyčajne skúma, či sa politika tiež uplatňuje.

Kde sa to nachádza: článok 21 odsek 2 pod písmenom e

Článok 21 odsek 2 smernice NIS2 uvádza desať kategórií opatrení, ktoré musia subjekty "najmenej" prijať; pod písmenom e sa uvádza kryptografia a politika šifrovania s "ak je to vhodné" — smernica teda nepredpisuje špecifický algoritmus alebo špecifickú dĺžku kľúča, ale napriek tomu zaväzuje subjekt, ktorý podľa smernice NIS2 podlieha, aby mal v tejto záležitosti premyslenú politiku. Na zodpovedanie otázky, či to platí pre samotnú spoločnosť, je najskôr relevantné, či sama podľa smernice NIS2 alebo jej národnej implementácie podlieha: ak podľa nej nepodlieha, zákazník si môže túto otázku stále klásť zmluvne, ale potom neexistuje zákonná povinnosť, ktorá by odpoveď vynútila.