o questionário pergunta se os dados são criptografados em trânsito e em repouso

Encriptação em repouso e em trânsito, duas questões separadas

Esta questão costuma dividir-se em duas partes, e é precisamente por isso que frequentemente é respondida incorretamente: transmissão encriptada (em trânsito, por exemplo TLS no tráfego de dados) e armazenamento encriptado (em repouso, por exemplo encriptação de disco ou encriptação de base de dados) são duas medidas técnicas diferentes. Uma resposta "sim" à questão inteira é correta apenas se ambas se aplicarem. Se tem TLS 1.2 ou superior em todas as conexões externas mas não tem encriptação na camada de armazenamento, então a resposta é dividida: sim para trânsito, não ou ainda a fazer para repouso. Preencha assim de forma dividida se o portal do cliente tem dois campos separados — e verifique isso, pois muitos formatos têm, mesmo que a lista original apresente como uma única questão.

O documento de prova que se aplica aqui é a política de criptografia: um documento que estabelece quais algoritmos e protocolos a empresa utiliza, para que categorias de dados, e quem decide sobre isso. Se não tem isso documentado mas tem implementado tecnicamente, a resposta à questão em si é frequentemente ainda "sim", mas falta o suporte que um auditor ou cliente quer ver. Este é o momento para a política sobre criptografia e encriptação estabelecer antes de marcar a caixa, não depois. Sem essa política, "sim, encriptamos" é uma alegação técnica sem comprovação documental.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

Criptografia e encriptação são mencionadas como medida separada no artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555), entre as dez medidas que uma entidade deve tomar no mínimo — não é portanto uma questão menor ao lado de análise de risco ou resposta a incidentes, mas uma categoria obrigatória própria. Em ISO/IEC 27001 o mesmo tema volta como medida de controlo separada no Anexo A, independentemente da segurança de acesso mais ampla. Quem trabalha em direção a certificação, faz bem em considerar isto junto com a questão de se a empresa é certificada em ISO 27001pois um auditor avalia encriptação habitualmente como ponto de controlo separado, não como subproduto de outra coisa. A Lei Holandesa de Cibersegurança, que transpõe estas obrigações NIS2, entra em vigor a 15 de agosto de 2026; até essa data a diretiva em si é o ponto de referência, não a lei nacional.