Wird eine Politik zum Einsatz von Kryptografie und Verschlüsselung durchgeführt?

Kryptografirichtlinie ist eine einzelne Maßnahme nach Artikel 21

Ja, dies ist eine der zehn Maßnahmen, die Artikel 21 Absatz 2 NIS2 nennt: unter e heißt es "Richtlinien und Verfahren bezüglich der Verwendung von Kryptografie und gegebenenfalls Verschlüsselung". Die Frage bezieht sich also speziell darauf, ob es ein Dokument gibt, das festlegt, wann und wie Verschlüsselung angewendet wird — nicht auf die Frage, ob irgendwo einmal Daten verschlüsselt werden. Eine Frage hierzu in einer Fragenliste fragt meist nach dem Richtliniendokument selbst, nicht nach einer technischen Implementierung.

Was als Beweis zählt, ist üblicherweise eine Kryptografirichtlinie oder ein Abschnitt darüber in der Informationssicherheitsrichtlinie: welche Datenkategorien verschlüsselt werden (Daten in Ruhe, Daten in Transit), welche Algorithmen oder Standards als Minimum gelten, und wer über Ausnahmen entscheidet. Fehlt dieses Dokument, dann ist "nein" die ehrliche Antwort — eine einzelne technische Maßnahme wie TLS auf der Website ist keine Richtlinie. Dieses Thema hängt oft zusammen mit der Zugriffsrichtlinie und Verwaltung von Unternehmensmitteln, da Verschlüsselungsanforderungen dort oft auftauchen, und mit der regelmäßigen Prüfung von Sicherheitsmaßnahmen, da ein Auditor normalerweise überprüft, ob die Richtlinie auch umgesetzt wird.

Wo dies steht: Artikel 21 Absatz 2 unter e

Artikel 21 Absatz 2 NIS2 listet zehn Kategorien von Maßnahmen auf, die Entitäten "mindestens" ergreifen müssen; unter e steht Kryptografie und Verschlüsselungsrichtlinie mit "gegebenenfalls" — die Richtlinie schreibt also keinen spezifischen Algorithmus oder eine spezifische Schlüssellänge vor, verpflichtet aber, dass eine unter NIS2 fallende Entität eine wohlüberlegte Richtlinie hierzu hat. Um die Frage zu klären, ob dies für das Unternehmen selbst gilt, ist zunächst relevant, ob es selbst unter die NIS2-Richtlinie oder deren nationale Umsetzung fällt: fällt es nicht darunter, kann ein Auftraggeber diese Frage dennoch vertraglich stellen, aber dann gibt es keine gesetzliche Verpflichtung, die die Antwort erzwingt.