Εφαρμόζεται πολιτική σχετικά με τη χρήση κρυπτογραφίας και κρυπτογράφησης;

Η κρυπτογραφική πολιτική είναι ένα ξεχωριστό μέτρο σύμφωνα με το άρθρο 21

Ναι, αυτό είναι ένα από τα δέκα μέτρα που αναφέρει το άρθρο 21 παράγραφος 2 NIS2: στο στοιχείο e αναφέρονται "πολιτική και διαδικασίες σχετικά με τη χρήση κρυπτογραφίας και, όπου κατάλληλο, κρυπτογράφησης". Η ερώτηση αφορά συγκεκριμένα στο αν υπάρχει έγγραφο που καθορίζει πότε και πώς εφαρμόζεται η κρυπτογράφηση — όχι στο αν τα δεδομένα κρυπτογραφούνται κάπου. Μια ερώτηση σχετικά με αυτό σε μια λίστα ερωτήσεων συνήθως αφορά το ίδιο το κείμενο πολιτικής, όχι την τεχνική υλοποίηση.

Ως αποδεικτικό στοιχείο, συνήθως θεωρείται μια κρυπτογραφική πολιτική ή μια ενότητα σχετικά με αυτήν στην πολιτική ασφάλειας πληροφοριών: ποιές κατηγορίες δεδομένων κρυπτογραφούνται (δεδομένα σε κατάσταση ηρεμίας, δεδομένα κατά τη μετάδοση), ποιοι αλγόριθμοι ή πρότυπα ισχύουν ως ελάχιστο, και ποιος αποφασίζει σχετικά με εξαιρέσεις. Αν λείπει αυτό το έγγραφο, τότε το "όχι" είναι η ειλικρινής απάντηση — ένα ξεχωριστό τεχνικό μέτρο όπως το TLS στο δικτυακό τόπο δεν αποτελεί πολιτική. Το θέμα αυτό συχνά συνδέεται με τη πολιτική πρόσβασης και τη διαχείριση επιχειρηματικών πόρων, διότι οι απαιτήσεις κρυπτογράφησης συχνά εμφανίζονται εκεί, και με την περιοδική δοκιμή των μέτρων ασφάλειας, διότι ένας ελεγκτής συνήθως ελέγχει αν η πολιτική εφαρμόζεται επίσης.

Πού βρίσκεται αυτό: άρθρο 21 παράγραφος 2 στοιχείο e

Το άρθρο 21 παράγραφος 2 NIS2 αναφέρει δέκα κατηγορίες μέτρων που οι οντότητες "πρέπει τουλάχιστον" να λάβουν· στο στοιχείο e αναφέρονται κρυπτογραφία και πολιτική κρυπτογράφησης με "όπου κατάλληλο" — η οδηγία δεν προβλέπει συγκεκριμένο αλγόριθμο ή συγκεκριμένο μήκος κλειδιού, αλλά υποχρεώνει μια οντότητα που υπόκειται στη NIS2 να έχει σχετικά μια ζυγισμένη πολιτική. Για την ερώτηση αν αυτό ισχύει για την ίδια την επιχείρηση, είναι πρώτα σχετικό αν η ίδια υπόκειται στη Οδηγία NIS2 ή στην εθνική μεταφορά της: αν είναι εκτός αυτής, ένας πελάτης μπορεί εξ ολοκλήρου να θέσει αυτήν την ερώτηση, αλλά τότε δεν υπάρχει νομική υποχρέωση που να επιβάλλει την απάντηση.