Се ли прилага политика относно използването на криптография и криптиране?

Политиката за криптография е отделна мярка по членка 21

Да, това е една от десетте мерки, които членка 21 параграф 2 на NIS2 посочва: под буква е "политика и процедури, касаещи използването на криптография и, където е целесъобразно, криптиране". Въпросът е конкретно дали има документ, който определя кога и как се прилага шифроване — не дали има някъде извършено шифроване на данни. Въпрос по този предмет в анкета обикновено се отнася до самия документ на политиката, а не до техническо внедряване.

Като доказателство обикновено се приема политика за криптография или раздел от нея в политиката за информационна сигурност: кои категории данни се шифруват (данни в покой, данни при трансфер), кои алгоритми или стандарти представляват минимум и кой решава за изключенията. При липса на този документ, "не" е честният отговор — отделна техническа мярка като TLS на уебсайта не представлява политика. Този предмет често е свързан с политиката за достъп и управление на корпоративни активи, тъй като изискванията за криптиране често се намират там, и с периодична проверка на мерките за сигурност, тъй като одитор обикновено проверява дали политиката се прилага и на практика.

Където е посочено това: член 21, параграф 2, буква е

Член 21, параграф 2 на NIS2 изброява десет категории мерки, които субектите „най-малко сам попадащ под NIS2 директивата или нейното национално преобразуване: ако те попадат извън обхвата, клиент все още може да постави този въпрос договорно, но тогава няма законна задължение, което да налага отговора.