¿Se aplica una política sobre el uso de criptografía y cifrado?

La política de criptografía es una medida independiente conforme al artículo 21

Sí, es una de las diez medidas que menciona el artículo 21 apartado 2 NIS2: bajo la letra e figura "política y procedimientos relativos al uso de criptografía y, cuando proceda, cifrado". Por lo tanto, la pregunta versa específicamente sobre si existe un documento que establezca cuándo y cómo se aplica el cifrado — no sobre si en algún momento se cifra datos. Una pregunta al respecto en un cuestionario generalmente se refiere al documento de política en sí, no a una implementación técnica.

Lo que generalmente cuenta como prueba es una política de criptografía o una sección sobre ella en la política de seguridad de la información: qué categorías de datos se cifran (datos en reposo, datos en tránsito), qué algoritmos o normas son mínimos obligatorios, y quién decide sobre excepciones. Si falta ese documento, entonces "no" es la respuesta honesta — una medida técnica aislada como TLS en el sitio web no es una política. Este tema suele estar relacionado con la política de acceso y gestión de activos empresariales, ya que los requisitos de cifrado a menudo se incluyen en ella, y con las pruebas periódicas de las medidas de seguridad, ya que un auditor generalmente verifica si la política también se aplica.

Dónde está esto: artículo 21 apartado 2 bajo e

El artículo 21 apartado 2 NIS2 enumera diez categorías de medidas que las entidades "como mínimo" deben adoptar; bajo la letra e figura la política de criptografía y cifrado con "cuando proceda" — por lo tanto, la directiva no prescribe un algoritmo específico o una longitud de clave específica, pero sí obliga a que una entidad que esté sujeta a NIS2 tenga una política ponderada al respecto. Para la pregunta de si esto es aplicable a la empresa misma, es relevante en primer lugar si ella misma está sujeta a la directiva NIS2 o a su transposición nacional: si queda fuera, un cliente aún puede formular esta pregunta contractualmente, pero entonces no hay una obligación legal que obligue la respuesta.