spørgeskemaet spørger, om data krypteres ved transmission og opbevaring

Kryptering i hvile og under transport, to separate spørgsmål

Dette spørgsmål deles normalt i to dele, og det er præcis derfor, det ofte bliver besvaret forkert: krypteret afsendelse (under transport, for eksempel TLS ved datatrafikken) og krypteret lagring (at rest, for eksempel diskkryptering eller databasekryptering) er to forskellige tekniske foranstaltninger. Et "ja" på hele spørgsmålet er kun korrekt, hvis begge dele er sande. Hvis du har TLS 1.2 eller nyere på alle eksterne forbindelser, men ingen kryptering på lagerniveauet, så er svaret opdelt: ja for transport, nej eller endnu ikke implementeret for hvile. Udfyld det også opdelt på denne måde, hvis kundens portal har to separate felter — og kontroller det, for mange formater gør det, selv hvis den oprindelige liste stiller det som ét spørgsmål.

Det dokumentationsbevis, der passer hertil, er krypteringspolitikken: et dokument, der angiver, hvilke algoritmer og protokoller virksomheden bruger, for hvilke datakategorier, og hvem der træffer beslutninger herom. Hvis du ikke har dokumenteret det, men har implementeret det teknisk, er svaret på selve spørgsmålet ofte stadig "ja", men den dokumentation, som en revisor eller kunde ønsker at se, mangler. Det er øjeblikket til at politikken for kryptografi og kryptering udarbejde før du markerer feltet, ikke efter. Uden denne politik er "ja, vi krypterer" en teknisk påstand uden dokumentation.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Kryptering og kryptering er nævnt som en separat foranstaltning i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555), blandt de ti foranstaltninger, som en enhed mindst skal træffe — det er således ikke en bisag ved siden af risikovurdering eller hændelseshåndtering, men en egen obligatorisk kategori. I ISO/IEC 27001 vender det samme emne tilbage som egen styringsforanstaltning i Annex A, adskilt fra den bredere adgangskontrol. Den, der arbejder på certificering, gør klogt i at se dette samtidigt med spørgsmålet om virksomheden er ISO 27001-certificeret, fordi en revisor normalt vurderer kryptering som et separat kontrolpunkt, ikke som et biprodukt af noget helt tredje. Den nederlandske cybersikkerhedslov, som implementerer disse NIS2-forpligtelser, træder i kraft den 15. august 2026; indtil da er direktivet selv udgangspunktet, ikke den nationale lov.