Provodi li se politika korištenja kriptografije i enkripcije?

Politika kriptografije je samostalna mjera prema članku 21

Da, ovo je jedna od deset mjera koje navodi članak 21 stavak 2 NIS2: pod e stoji "politika i postupci vezani uz korištenje kriptografije i, gdje je primjenjivo, enkripcije". Pitanje se tako specifično odnosi na to postoji li dokument koji određuje kada i kako se enkripcija primjenjuje — a ne na pitanje postoji li negdje enkriptirana podataka. Pitanje o tome u anketnom popisu obično se odnosi na sam politički dokument, a ne na tehničku primjenu.

Ono što se najčešće smatra dokazom je politika kriptografije ili odlomak o njoj u politici sigurnosti podataka: koje su kategorije podataka enkriptirane (podatci u mirovanju, podatci u prijenosu), koji su algoritmi ili standardi minimalnog vrijednosti, i tko odlučuje o iznimkama. Ako nedostaje taj dokument, onda je "ne" iskren odgovor — samostalna tehnička mjera kao što je TLS na web-mjestu nije politika. Ova tema često se povezuje s politikom pristupa i upravljanjem poslovnim sredstvima, jer se zahtjevi za enkripciju često pojavljuju tamo, te s povremenim testiranjem mjera sigurnosti, jer inspektor najčešće provjerava primjenjuje li se politika u praksi.

Gdje je to navedeno: članak 21 stavak 2 pod e

Članak 21 stavak 2 NIS2 navodi deset kategorija mjera koje entiteti "minimalno" moraju poduzeti; pod e je politika kriptografije i enkripcije s "gdje je primjenjivo" — direktiva dakle ne propisuje specifičan algoritam ili specifičnu duljinu ključa, ali obavezuje entiteta koji pada pod NIS2 da o tome ima razmotrenu politiku. Za pitanje primjenjuje li se to na samo poduzeće, prvo je relevantno padá li sama pod NIS2 direktivu ili njezinu nacionalnu provedbu: padne li izvan toga, kupac može i dalje postaviti ovo pitanje ugovoreno, ali tada nema zakonske obveze koja prisiljava odgovor.