dotazník se ptá, zda jsou data šifrována při přenosu a ukládání

Šifrování v klidu a při přenosu, dvě samostatné otázky

Tato otázka se obvykle dělí na dvě části, a přesně proto je často zodpovězena nesprávně: šifrovaný přenos (in transit, například TLS u datového provozu) a šifrované ukládání (at rest, například šifrování disku nebo šifrování databáze) jsou dvě různá technická opatření. "Ano" na celou otázku je správné pouze tehdy, pokud oba druhy šifrování fungují. Máte-li TLS 1.2 nebo vyšší na všech externích připojeních, ale nemáte šifrování na vrstvě ukládání, je odpověď rozdělená: ano pro přenos, ne nebo ještě se má udělat pro ukládání. Vyplňte to také rozdělené, pokud má portál vašeho klienta dvě samostatná pole — a ověřte si to, protože mnoho formátů toto řeší, i když původní seznam formuluje otázku jako jednu.

Dokladem, který sem patří, je zásada kryptografie: dokument, ve kterém je uvedeno, které algoritmy a protokoly podnik používá, pro které kategorie údajů a kdo o tom rozhoduje. Pokud jste to nezaznamenali, ale technicky jste to implementovali, je odpověď na samotnou otázku často stále "ano", ale chybí vám zdůvodnění, které si auditor nebo klient přeje vidět. To je moment, kdy byste měli politika o kryptografii a šifrování vypracovat před zaškrtnutím políčka, ne po něm. Bez této zásady je "ano, šifrujeme" technické tvrzení bez písemné opory.

Odkud to pochází: článek 21 odst. 2 a příloha A

Kryptografie a šifrování jsou uvedeny jako samostatné opatření v článku 21 odstavci 2 směrnice NIS2 (Směrnice (EU) 2022/2555), mezi deseti opatřeními, která musí subjekt minimálně přijmout — nejde tedy o vedlejší záležitost vedle analýzy rizik nebo řešení incidentů, ale o vlastní povinnou kategorii. V normě ISO/IEC 27001 se stejné téma vrací jako samostatné opatření řízení v příloze A, oddělené od širší bezpečnosti přístupu. Kdo pracuje na certifikaci, měl by si toto uvědomit vedle otázce, zda je podnik certifikován podle ISO 27001, protože auditor obvykle ověřuje šifrování jako samostatný kontrolní bod, nikoli jako vedlejší produkt něčeho jiného. Nizozemský zákon o kybernetické bezpečnosti, který transpozuje tyto povinnosti z NIS2, vstupuje v platnost 15. srpna 2026; do té doby je samotná směrnice výchozím bodem, nikoli národní zákon.