Une politique est-elle appliquée concernant l'utilisation de la cryptographie et du chiffrement ?

La politique de cryptographie est une mesure distincte en vertu de l'article 21

Oui, il s'agit de l'une des dix mesures énumérées à l'article 21, paragraphe 2, de la NIS2 : sous la lettre e, il est question de « politiques et procédures concernant l'utilisation de la cryptographie et, le cas échéant, du chiffrement ». La question porte donc spécifiquement sur l'existence d'un document qui fixe quand et comment le chiffrement est appliqué — et non sur la question de savoir si les données sont chiffrées quelque part. Une question sur ce sujet dans un questionnaire porte généralement sur le document politique lui-même, et non sur une mise en œuvre technique.

Ce qui compte généralement comme preuve est une politique de cryptographie ou une section s'y rapportant dans la politique de sécurité de l'information : quelles catégories de données sont chiffrées (données au repos, données en transit), quels algorithmes ou normes constituent un minimum, et qui décide des exceptions. En l'absence de ce document, « non » est la réponse honnête — une mesure technique isolée comme TLS sur le site web n'est pas une politique. Ce sujet est souvent lié à la politique d'accès et à la gestion des biens de l'entreprise, car les exigences de chiffrement y figurent souvent, et avec l'évaluation périodique des mesures de sécurité, car un auditeur vérifie généralement si la politique est également mise en œuvre.

Où cela figure : article 21, paragraphe 2, sous e

L'article 21, paragraphe 2, de la NIS2 énumère dix catégories de mesures que les entités « doivent » prendre au minimum ; sous la lettre e figure la politique de cryptographie et de chiffrement avec « le cas échéant » — la directive ne prescrit donc pas un algorithme spécifique ou une longueur de clé spécifique, mais elle oblige une entité soumise à la NIS2 à avoir une politique réfléchie à ce sujet. Pour la question de savoir si cela s'applique à l'entreprise elle-même, il importe d'abord de déterminer si elle relève elle-même de la directive NIS2 ou de sa transposition au niveau national: si elle n'en relève pas, un client peut néanmoins poser cette question contractuellement, mais il n'y a pas d'obligation légale qui force la réponse.