Vai tiek īstenota politika par kriptošanas un šifrēšanas lietošanu?

Kriptografijas politika ir atsevišķs pasākums saskaņā ar 21. pantu

Jā, tas ir viens no desmit pasākumiem, ko 21. panta 2. punkts NIS2 nosaka: zem e punkta ir "politika un procedūras attiecībā uz kriptografijas izmantošanu un, ja nepieciešams, šifrēšanu". Tāpēc jautājums skaidri attiecas uz to, vai pastāv dokuments, kurā noteikts, kad un kā tiek piemērota šifrēšana — nevis uz to, vai kaut kur kādu reizi dati tiek šifrēti. Jautājums par to anketas formā parasti prasa pēc paša politikas dokumenta, nevis par tehnisko ieviešanu.

Kā pierādījums parasti tiek atzīta kriptografijas politika vai sadaļa par to informācijas drošības politikā: kādi datu kategoriju veidi tiek šifrēti (stacionārie dati, pārsūtāmie dati), kādi algoritmi vai standarti tiek uzskatīti par minimālo prasību, un kurš pieņem lēmumus par izņēmumiem. Ja šis dokuments trūkst, tad "nē" ir godīgs atbildes variants — atsevišķs tehnisks pasākums, piemēram, TLS tīmekļa vietnē, nav politika. Šis temats bieži saistās ar piekļuves politiku un uzņēmuma līdzekļu pārvaldību, jo šifrēšanas prasības bieži tiek atspoguļotas tajā, un ar drošības pasākumu periodiska pārbaude, jo revidents parasti pārbauda, vai politika tiek piemērota arī praksē.

Kur tas atrodas: 21. panta 2. punkts zem e

21. panta 2. punkts NIS2 uzskaitīs desmit pasākumu kategorijas, kuras subjektiem "vismaz" jāveic; zem e punkta ir kriptografija un šifrēšanas politika ar "ja nepieciešams" — tāpēc direktīva nepārraida konkrētu algoritmu vai konkrētu atslēgas garumu, bet paredz, ka subjekts, uz kuru attiecas NIS2, par to ir izstrādājis pamatotu politiku. Lai noskaidrotu, vai to attiecas uz pašu uzņēmumu, vispirms ir svarīgi, vai tas pats ietilpst NIS2 direktīvā vai tās nacionālajā transponēšanā: ja tas ārpus tās ir, tad klients šo jautājumu var uzbāzt pēc līguma, bet tad nav likumiskās prasības, kas piespiestu atbildi.