Noudatetaanko kryptografian ja salauksen käytöstä annettua politiikkaa?

Salaustekniikoiden politiikka on erillinen toimenpide artiklan 21 mukaisesti

Kyllä, tämä on yksi kymmenestä toimenpideluokasta, joita artiklan 21 kohdan 2 NIS2-direktiivi mainitsee: kohdan e mukaisesti "salaustekniikoiden käyttöä ja tarvittaessa salausta koskevat käytännöt ja menettelyt". Kysymys koskee siis nimenomaan sitä, onko olemassa asiakirja, jossa määrätään milloin ja miten salausta sovelletaan — ei kysymystä siitä, salaataanko tietoja jossakin vaiheessa. Tällaiseen kysymykseen vastattaessa kyse on yleensä politiikkadokumentista itsestään, ei teknis­tä toteuttamises­ta.

Todistusaineistoksi kelpaa yleensä salaustekniikoiden politiikka tai sen osio tietoturvan politiikassa: mitkä tietoryhmät salaavat (data at rest, data in transit), mitkä algoritmit tai standardit ovat vähintään vaadittavat, ja kuka päättää poikkeuksista. Jos asiakirja puuttuu, "ei" on rehellinen vastaus — irtonainen tekniikka kuten verkkosivuston TLS ei ole politiikkaa. Tämä aihe liittyy usein pääsynvalvonnan politiikkaan ja liiketoimintavälineiden hallintaan, koska salausvaatimukset esiintyvät usein siinä, ja turvallisuustoimenpiteiden säännölliseen testaukseensalauksen soveltamisen tarkastukseen, koska tilintarkastaja yleensä tarkistaa politiikan toteutumisen.

Missä tämä on säädetty: artiklan 21 kohdan 2 kohta e

Artiklan 21 kohdan 2 NIS2-direktiivi luettelee kymmenen toimenpideluokkaa, jotka yksiköiden "on vähintään" toteutettava; kohdan e mukaisesti salaustekniikat ja salauspoliitiikka, jossa mainitaan "tarvittaessa" — direktiivi ei siis määrää mitään tiettyä algoritmia tai avaimen pituutta, mutta velvoittaa sen sijaan NIS2-direktiivin soveltamisalaan kuuluvaa yksikköä noudattamaan harkittua politiikkaa tältä osin. Kannalta oleellista on ensin, ovatko he NIS2-direktiivin tai sen kansallisen toimeenpanon soveltamisalassaJos ne eivät ole, voi asiakas silti asettaa tämän kysymyksen sopimukseen, mutta mitään lakisääteistä velvoitetta, joka määräisi vastauksen, ei ole.