vragenlijst vraagt of laptops versleuteld zijn, hoe weet ik dat zeker

Schijfversleuteling is onderdeel van cryptografiebeleid, niet een los vinkje

De vraag naar versleutelde laptops is een deelvraag uit het bredere beleid over cryptografie en versleuteling. Zeker weten dat een laptop versleuteld is, betekent in de praktijk: BitLocker (Windows) of FileVault (macOS) staat centraal afgedwongen via het MDM- of Intune-beleid, niet als losse instelling die een gebruiker zelf aan- of uitzet. Het bewijsstuk dat hier het meest voor telt, is een export uit die beheeromgeving met de encryptiestatus per device — niet een screenshot van één laptop. Heb je die export niet, dan is "nee" of "onbekend" het eerlijke antwoord; een los IT-beleidsdocument zonder apparaatgegevens dekt de vraag niet.

Let op het onderscheid dat veel lijsten maken tussen "policy" en "enforced": een beleidsregel die zegt dat encryptie verplicht is, is iets anders dan een technische controle die niet-versleutelde apparaten blokkeert bij inloggen. Als je klant vraagt naar "full disk encryption" specifiek, telt een versleutelde containerfolder of alleen een wachtwoord op het besturingssysteem niet mee. Dit raakt ook het toegangsbeleid en het beheer van bedrijfsmiddelen: zonder een actueel overzicht van welke laptops er zijn (asset management), kun je ook niet aantonen dat ze allemaal versleuteld zijn — je kunt dan alleen zeggen dat het beleid bestaat, niet dat de dekking honderd procent is.

Waar dit terugkomt in NIS2 en ISO 27001

Cryptografie staat als aparte maatregel genoemd in artikel 21 lid 2 van de NIS2-richtlijn, onder het beleid voor het gebruik van cryptografie en, waar relevant, encryptie — een van de tien maatregelen die de richtlijn opsomt. In ISO/IEC 27001 valt dit onder de beheersmaatregelen in Annex A die specifiek gaan over cryptografische controles. Beide kaders vragen om een vastgesteld beleid plus het aantoonbaar toepassen ervan; alleen het beleidsdocument is dus niet voldoende als bewijs, de technische afdwinging telt net zo zwaar.