Fragensammlung fragt, ob unsere Daten verschlüsselt gespeichert sind, woher weiß ich das

Verschlüsselung at rest und in transit sind zwei unterschiedliche Fragen

Die Frage "sind Daten verschlüsselt gespeichert" bezieht sich spezifisch auf Verschlüsselung at rest – Daten auf der Festplatte, in der Datenbank, in Backups. Das ist ein anderes Kontrollkästchen als Verschlüsselung in transit (TLS bei Datenverkehr), und viele Fragebögen fragen nach beiden separat, auch wenn die Formulierung sie zusammenfasst. Überprüfen Sie also, ob der Fragebogen eine Antwort erwartet oder eigentlich zwei separate Aussagen überprüft. Für "ja" müssen Sie nachweisen können, dass dies für die Systeme gilt, die für die Dienstleistung an diesen Kunden relevant sind – nicht dass es überall in Ihrer IT-Landschaft so ist.

Beweis ist in der Regel eine von drei Möglichkeiten: ein Konfigurationsexport oder Screenshot von Ihrem Cloud-Anbieter (beispielsweise Verschlüsselung at rest standardmäßig aktiviert bei AWS RDS oder Azure Storage), ein Auszug aus Ihrer ISO-27001-Erklärung der Anwendbarkeit, falls das Unternehmen ISO-27001-zertifiziert ist, oder ein Auszug aus Ihrer eigenen Kryptografierechtlinie. Haben Sie keine separate Richtlinie, dann ist "nein, kein separates Dokument" die ehrliche Antwort – eine technische Maßnahme ohne dokumentierte Richtlinie dahinter ist ein anderes Risiko als keine Verschlüsselung, und diesen Unterschied dürfen Sie in der Erläuterung machen. Verschlüsselung wird im weiteren Sinne häufig zusammengefasst mit Richtlinie zur Kryptografie und Verschlüsselung, deshalb verwenden Sie den gleichen Nachweis für beide, falls diese Frage in der gleichen Liste enthalten ist.

Wo dies unter die zehn Maßnahmen fällt

Kryptografie und Verschlüsselung werden in Artikel 21 Absatz 2 der NIS-2-Richtlinie als separate Maßnahme genannt, neben anderem Zugriffskontrollrichtlinie und Incident Management. In ISO 27001 Annex A ist Verschlüsselung als separate Kontrollmaßnahme innerhalb des Kryptografiebereichs aufgeführt – deshalb fragen Audoren danach separat nach Nachweis, auch wenn Ihre allgemeine Sicherheitsrichtlinie das Thema bereits erwähnt. Unterliegen Sie selbst dem Cybersicherheitsgesetz, dann ist dies einer der Punkte, zu denen Sie als Einheit unter der NIS-2-Richtlinie selbst Rechenschaft ablegen, nicht nur gegenüber Kunden, die danach fragen.