vragenlijst vraagt of onze data versleuteld is opgeslagen hoe weet ik dat

Encryptie at rest en in transit zijn twee verschillende vragen

De vraag "is data versleuteld opgeslagen" gaat specifiek over encryptie at rest — data op schijf, in de database, in backups. Dat is een ander vakje dan encryptie in transit (TLS bij dataverkeer), en veel vragenlijsten vragen naar allebei apart, ook als de formulering ze samenvoegt. Check dus of de vragenlijst één antwoord verwacht of eigenlijk twee losse claims verifieert. Voor "ja" moet je kunnen aantonen dat het geldt voor de systemen die relevant zijn voor de dienst aan die klant — niet dat het overal in je IT-landschap zo is.

Bewijs is meestal een van drie dingen: een configuratie-export of screenshot uit je cloudprovider (bijvoorbeeld encryption-at-rest standaard aan bij AWS RDS of Azure Storage), een uittreksel uit je ISO 27001 Statement of Applicability als de onderneming ISO 27001-gecertificeerd is, of een passage uit je eigen cryptografiebeleid. Heb je geen apart beleid, dan is "nee, geen los document" het eerlijke antwoord — een technische maatregel zonder vastgelegd beleid erachter is een ander risico dan geen encryptie, en dat onderscheid mag je in de toelichting maken. Versleuteling wordt in bredere zin vaak meegenomen onder beleid over cryptografie en versleuteling, dus als die vraag in dezelfde lijst staat, gebruik je hetzelfde bewijs voor beide.

Waar dit onder de tien maatregelen valt

Cryptografie en versleuteling staan als aparte maatregel genoemd in artikel 21 lid 2 van de NIS2-richtlijn, naast onder meer toegangsbeleid en incidentbehandeling. In ISO 27001 Annex A staat encryptie als losse beheersmaatregel binnen het cryptografiedomein — vandaar dat auditors er los bewijs voor vragen, ook als je algemene beveiligingsbeleid het onderwerp al noemt. Val je zelf onder de Cyberbeveiligingswet, dan is dit een van de punten waarop je als entiteit onder de NIS2-richtlijn zelf verantwoording aflegt, niet alleen richting klanten die het navragen.