Ar vykdoma politika dėl kriptografijos ir šifravimo naudojimo?

Kriptografijos politika yra atskira priemonė pagal 21 straipsnį

Taip, tai yra viena iš dešimties priemonių, kurias nurodo NIS2 21 straipsnio 2 dalis: e punkte rašoma "politika ir procedūros dėl kriptografijos naudojimo ir, kai tinkama, šifravimo". Klausimas siekia nustatyti, ar yra dokumentas, kuriame nustatyta, kada ir kaip taikomas šifravimas — o ne klausimas, ar duomenys kažkur šifruojami. Klausimas apklausoje paprastai siekia pačio politikos dokumento, o ne techninio diegimo.

Paprastai šiais įrodymais laikoma kriptografijos politika arba jos skyrius informacijos saugumo politikoje: kurie duomenų kategorijų yra šifruojami (duomenys ramybėje, duomenys judėjime), kokie algoritmai ar standartai yra minimalūs, ir kas nusprendžia dėl išimčių. Jei šis dokumentas trūksta, tada "ne" yra sąžiningas atsakymas — atskira techninė priemonė, tokia kaip TLS svetainėje, nėra politika. Šis klausimas dažnai susijęs su prieigos politika ir įmonės turto valdymu, nes šifravimo reikalavimai dažnai jame grįžta, ir su saugumo priemonių periodinio vertinimo, nes auditorius paprastai tikrina, ar politika taip pat iš tikrųjų taikoma.

Kur tai yra: 21 straipsnio 2 dalis, e punktas

21 straipsnio 2 dalis NIS2 nurodo dešimt kategorijų priemonių, kurias subjektai "turi bent jau" imtis; e punkte rašoma apie kriptografiją ir šifravimo politiką su "kai tinkama" — direktyva taigi nenustato konkretaus algoritmo ar konkretaus rakto ilgio, bet reikalauja, kad subjektas, kuriam taikoma NIS2, turėtų apgalvotą šio klausimo politiką. Norint sužinoti, ar tai taikoma pačiai įmonei, pirmiausia svarbūs klausimai, ar ji pati patenka į NIS2 direktyvos ar jos nacionalinio įgyvendinimo taikymo sritį: jei ji yra už jos ribų, tada klientas šį klausimą gali keliamas pagal sutartį, bet nėra jokio teisinio įpareigojimo, kuris priverčia atsakymą.