Kas krüptograafia ja krüpteerimise kasutamise osas poliitikat rakendatakse?

Krüptograafia poliitika on eraldi meede artikli 21 alusel

Jah, see on üks kümmnest meetmest, mida artikli 21 lõige 2 NIS2 nimetab: punktis e on kirjas "krüptograafia kasutamise ning vajaduse korral krüpteerimiega seotud poliitika ja protseduurid". Küsimus käsitleb seega konkreetselt seda, kas on olemas dokument, mis määratleb, millal ja kuidas krüpteerimist rakendatakse — mitte küsimust, kas andmeid kuskil üldse krüpteeritakse. Küsimuste nimekirja sisalduv küsimus käsitleb tavaliselt poliitikadokumenti ennast, mitte tehnilist rakendust.

Tõendina kõlbab tavaliselt krüptograafia poliitika või selle osa infoturbepolitiikas: millised andmekategooriad krüpteeritakse (rahu andmed, ülekandel olevad andmed), millised algoritmid või standardid on miinimumi tasandil, ja kes otsustab erandite osas. Puudub see dokument, siis on "ei" aus vastus — eraldi tehniline meede nagu TLS veebisaidil ei ole poliitika. See teema on sageli seotud juurdepääsupoliitikaga ja ettevõtte varade juhtimisega, sest krüpteerimisnõudeid esineb seal sageli, ja julgeolek­meetmete perioodilise kontrollimise puhulkus raamatupidaja tavaliselt kontrollib, kas poliitika rakendatakse ka tegelikult.

Kus see asub: artikli 21 lõige 2 punktis e

Artikli 21 lõige 2 NIS2 loetleb kümme meetmete kategooriat, mida üksused "peavad vähemalt" võtma; punktis e on krüptograafia ja krüpteerimisel poliitika märkusega "vajaduse korral" — direktiiv seega ei määra mingit konkreetset algoritmi ega kindlat võtmepikkust, kuid nõuab siiski, et üksus, kes jääb NIS2 alla, omab selle kohta läbimõeldud poliitika. Selleks, et määratleda, kas see ettevõtet puudutab, on esmalt oluline, kas ta jääb ise NIS2-direktiivi või selle rahvusliku ülevõtmise alla: kui ta jääb väljaspoole, võib klient seda küsimust siiski lepinguliselt esitada, kuid siis puudub seaduslik kohustus, mis vastust nõuaks.