hvad udfylder jeg ved spørgsmålet om kryptering af data ved lagring og transport

Kryptering i lageret og under transport er to afkrydsningsfelter, ikke ét

Udfyld separat, om data at rest er krypteret, og om data in transit er krypteret — en liste, der gør ét spørgsmål ud af det, vil normalt stadig se begge svar i kommentarerne. Til transport er TLS 1.2 eller højere standardforventningen; til lagering AES-256 på databaseniveauet eller fuldstændig diskkryptering. Hvis du kun har TLS til trafikken, men ingen kryptering på lagringen, udfyld da "delvist" eller "nej" ved lagringen med en kort kommentar — ikke "ja", fordi transportsiden er i orden.

Hvis du ikke har fastsat dette pr. system, men alligevel ved, at din cloudleverandør (AWS, Azure, Google Cloud) gør dette som standard på infrastrukturniveauet, er det et gyldigt svar, blot du beskriver det sådan: kryptering af leverandøren, ikke selvadministreret. Nogle lister spørger eksplicit om nøglestyring — hvem der administrerer krypteringsnøglerne, dig eller leverandøren — og det er et andet svar end spørgsmålet om, hvorvidt der krypteres. I tvivlstilfælde om præcis hvad der spørges: se, om spørgsmålet er en del af en bredere blok om kryptering og krypteringspolitik, for så spørges der ofte også til selve politikken, ikke kun til teknikken. Hvis du ingen dokumenteret politik har, men teknikken kører, skal du angive denne forskel i kommentaren i stedet for at svare omkring den.

Hvor dette kommer fra: artikel 21 stk. 2 NIS2 og Bilag A til ISO 27001

Kryptering og krypteringspolitik nævnes som separat foranstaltning i artikel 21, stk. 2 i direktiv (EU) 2022/2555 (NIS2), ved siden af foranstaltninger om adgangskontrol og netværkssikkerhed — derfor spørger kunderne dette separat fra for eksempel adgangspolitikken og styringen af virksomhedsressourcer. I ISO/IEC 27001 er kryptering listet som egen kontrolmål i Bilag A, separat fra kontrolmålene vedr. informationssystemer generelt. Cybersikkerhedsloven, den danske omfavnelse af NIS2, træder i kraft forventes den 15. august 2026; indtil da er direktivet selv udgangspunktet for dem, der allerede får spørgeskemaer herom.