cliente pergunta se nossos dados estão criptografados durante armazenamento e transmissão

Encriptação durante armazenamento e transporte são dois pontos a confirmar separadamente

A pergunta contém frequentemente duas sub-questões numa única: encriptação "at rest" (armazenamento) e "in transit" (transmissão). Responda-as separadamente, porque pode ocorrer que uma esteja regulada e a outra não — por exemplo TLS em todas as ligações, mas sem encriptação da base de dados subjacente. Indique na resposta concretamente qual das duas foi preenchida, em vez de um "sim" resumido.

O que precisa para confirmar: o protocolo utilizado para tráfego de dados (geralmente TLS 1.2 ou superior) e o método para armazenamento (geralmente AES-256 ou equivalente). Se isto não está estabelecido numa política de criptografia, não há nada a confirmar — então "a determinar" é a designação correcta, não um palpite informado. Isto alinha-se com a pergunta se existe política sobre a utilização de criptografia e encriptação: sem essa política falta a base em que esta resposta pode assentar. A encriptação está também relacionada com quem tem acesso às chaves; se nada está estabelecido sobre isso, é um indicador de que também a política de acesso ainda não está completa.

Porque isto reaparece separadamente no artigo 21.º n.º 2 e no Anexo A

A encriptação de dados está mencionada como medida individual no artigo 21.º n.º 2 da Directiva NIS2, entre as dez medidas ali enumeradas — isto não é portanto uma "boa prática" geral mas um ponto de verificação específico. Na ISO/IEC 27001 a criptografia reaparece como categoria própria no Anexo A, separada do controlo de acesso e separada da continuidade. Essa separação nas fontes é precisamente porque as listas de questões dos clientes tratam frequentemente o armazenamento e a transmissão como duas sub-questões: seguem a estrutura da norma subjacente.