enkäten frågar om data krypteras vid överföring och lagring

Kryptering i vila och under överföring, två separata frågor

Denna fråga delas vanligtvis upp i två delar, och det är precis därför den ofta besvaras felaktigt: krypterad överföring (in transit, till exempel TLS vid datatrafik) och krypterad lagring (at rest, till exempel diskkryptering eller databaskryptering) är två olika tekniska åtgärder. Ett "ja" på hela frågan stämmer bara om båda stämmer. Om du har TLS 1.2 eller högre på alla externa anslutningar men ingen kryptering på lagringsnivån, är svaret uppdelat: ja för transit, nej eller ännu att göra för rest. Fyll i det också uppdelat om kundens portal har två separata fält — och kontrollera det, för många format gör det även om den ursprungliga listan presenterar det som en fråga.

Det stödbevis som passar här är krypteringspolicyn: ett dokument som anger vilka algoritmer och protokoll organisationen använder, för vilka datakategorier, och vem som fattar beslut om detta. Om du inte har dokumenterat det men implementerat det tekniskt, är svaret på själva frågan ofta fortfarande "ja", men det saknas den motivering som en revisor eller kund vill se. Det är tillfället att policyn om kryptering och krypteringsalgoritmer upprättas innan du bockar i rutan, inte efter. Utan denna policy är "ja, vi krypterar" ett tekniskt påstående utan skriftlig grund.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Kryptering och kryptering nämns som en separat åtgärd i artikel 21 punkt 2 i NIS2-direktivet (Europaparlamentets och rådets direktiv (EU) 2022/2555), bland de tio åtgärder som en enhet minst måste vidta — det är alltså ingen bieffekt vid sidan av riskanalys eller incidentberedskap, utan en egen obligatorisk kategori. I ISO/IEC 27001 återkommer samma ämne som en egen kontrollåtgärd i Annex A, skild från den bredare åtkomstskyddet. Den som arbetar med certifiering gör väl i att titta på detta tillsammans med frågan om företaget är ISO 27001-certifierat uppkommer, för en revisor granskar vanligtvis kryptering som en separat kontrollpunkt, inte som en biprodukt av något annat. Den nederländska cybersäkerhetslagens, som implementerar dessa NIS2-skyldigheter, träder i kraft den 15 augusti 2026; fram till dess är direktivet själv utgångspunkten, inte den nationella lagen.