vad fyller jag i på frågan om datakryptering vid lagring och transport

Kryptering i lagring och i transport är två kryssrutor, inte en

Fyll i separat om data-at-rest är krypterad och om data-in-transit är krypterad — en lista som gör en fråga av två vill vanligtvis ändå se båda svaren i förklaringen. För transport är TLS 1.2 eller högre standardförväntningen; för lagring AES-256 på databasnivå eller fullständig diskkryptering. Om du bara har TLS för trafiken men ingen kryptering för lagringen, fyll då i "delvis" eller "nej" vid lagring med en kort förklaring — inte "ja" eftersom transportsidan stämmer.

Om du inte har dokumenterat detta per system men vet att din molnleverantör (AWS, Azure, Google Cloud) gör detta som standard på infrastrukturnivå, är det ett giltigt svar, förutsatt att du beskriver det på så sätt: kryptering av leverantören, inte själv hanterad. Vissa listor frågar uttryckligen om nyckelhantering — vem som hanterar krypteringsnycklarna, du eller leverantören — och det är ett annat svar än frågan om huruvida data är krypterad. Vid osäkerhet om vad som exakt frågas: kontrollera om frågan är en del av ett större block om policy för kryptografi och kryptering, för då tillfrågas ofta även själva policyn, inte bara tekniken. Om du inte har en dokumenterad policy men ändå har tekniken aktiverad, ange då denna skillnad i förklaringen istället för att ge ett svepande svar.

Varifrån detta kommer: artikel 21 punkt 2 NIS2 och Annex A i ISO 27001

Kryptografi och kryptering nämns som en separat åtgärd i artikel 21 punkt 2 i Europaparlamentets och rådets direktiv (EU) 2022/2555 (NIS2), vid sidan av åtgärder om åtkomstpolicy och nätverkssäkerhet — därför att kunder frågar om detta separat från till exempel åtkomstpolicy och hantering av företagstillgångar. I ISO/IEC 27001 är kryptografi en egen kontrollåtgärd i Annex A, separat från åtgärder om informationssystem i allmänhet. Cybersäkerhetslag, den nederländska genomförandet av NIS2, förväntas träda i kraft den 15 augusti 2026; tills dess är själva direktivet utgångspunkten för den som redan får frågeformulär om detta.