le questionnaire demande si les données sont chiffrées lors de la transmission et du stockage

Chiffrement au repos et en transit, deux questions distinctes

Cette question se divise généralement en deux parties, et c'est précisément pourquoi elle est souvent mal traitée : la transmission chiffrée (en transit, par exemple TLS pour le trafic de données) et le stockage chiffré (au repos, par exemple le chiffrement de disque ou le chiffrement de base de données) sont deux mesures techniques différentes. Une réponse « oui » à l'ensemble de la question n'est correcte que si les deux sont applicables. Si vous avez TLS 1.2 ou supérieur sur toutes les connexions externes mais pas de chiffrement au niveau du stockage, la réponse est divisée : oui pour le transit, non ou à faire pour le repos. Remplissez également de manière divisée si le portail du client dispose de deux champs séparés — et vérifiez cela, car de nombreux formats le proposent, même si la liste initiale le pose comme une seule question.

La pièce justificative correspondante est la politique de cryptographie : un document précisant quels algorithmes et protocoles l'entreprise utilise, pour quelles catégories de données, et qui en décide. Si vous ne l'avez pas formalisée mais l'avez mise en œuvre techniquement, la réponse à la question elle-même est souvent toujours « oui », mais la justification que l'auditeur ou le client souhaite voir manque. C'est le moment de la politique sur la cryptographie et le chiffrement l'établir avant de cocher la case, pas après. Sans cette politique, « oui, nous chiffrons » est une affirmation technique sans fondement documentaire.

D'où cela provient : article 21, paragraphe 2 et Annexe A

Le chiffrement et la cryptographie sont mentionnés comme mesure distincte à l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555), parmi les dix mesures qu'une entité doit au minimum mettre en place — ce n'est donc pas un point secondaire par rapport à l'analyse des risques ou à la réponse aux incidents, mais une catégorie obligatoire en soi. En ISO/IEC 27001, le même sujet réapparaît comme mesure de contrôle distincte à l'Annexe A, indépendamment de la sécurité d'accès plus large. Ceux qui travaillent à la certification feraient bien d'examiner cela parallèlement à la question de savoir si l'entreprise est certifiée ISO 27001, car un auditeur évalue généralement le chiffrement comme point de contrôle distinct, non comme sous-produit de quelque chose d'autre. La loi néerlandaise sur la cybersécurité, qui transpose ces obligations de la directive NIS2, entre en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même est le point de référence, non la loi nationale.