Ali se izvaja politika glede uporabe kriptografije in šifriranja?

Politika kriptografije je ukrep za se under člen 21

Da, to je ena od desetih ukrepov, ki jih člen 21(2) NIS2 navaja: pod e je navedeno "politika in postopki v zvezi z uporabo kriptografije in, kjer je primerno, šifriranjem". Vprašanje se torej posebej nanaša na to, ali obstaja dokument, ki določa, kdaj in kako se šifriranje uporablja — ne pa na vprašanje, ali se nekje enkrat podatki enkriptirani. Vprašanje o tem v vprašalniku običajno sprašuje po samem političnem dokumentu, ne po tehnični implementaciji.

Kar se šteje kot dokaz, je običajno politika kriptografije ali razdelek o njej v politiki varnosti informacij: katere kategorije podatkov se šifrirajo (podatki v mirovanju, podatki v poti), kateri algoritmi ali standardi veljajo kot minimalno, in kdo se odloči o izjemah. Če ta dokument manjka, je "ne" pošten odgovor — posamezni tehnični ukrep kot TLS na spletnem mestu ni politika. Ta tema se pogosto povezuje z politiko dostopa in upravljanjem premoženja podjetja, ker se zahteve za šifriranje tam pogosto pojavljajo, in z periodičnim testiranjem varnostnih ukrepov, ker preiskovalec običajno preverja, ali se politika tudi izvaja.

Kjer je to navedeno: člen 21(2) NIS2

Člen 21(2) NIS2 našteva deset kategorij ukrepov, ki jih morajo subjekti "najmanj" sprejeti; pod e je navedena kriptografija in politika šifriranja z "kjer je primerno" — Direktiva torej ne predpisuje specifičnega algoritma ali specifične dolžine ključa, vendar od subjekta, ki spada pod NIS2, zahteva, da ima o tem premišljeno politiko. Za vprašanje, ali to velja za samo podjetje, je najprej pomembno, ali sami spadajo pod Direktivo NIS2 ali njeno nacionalno izvedbo: če ne, lahko stranka to vprašanje še vedno zastavlja pogodbeno, vendar pa ni zakonske obveznosti, ki bi prisilila odgovor.