Förs policy för användning av kryptografi och kryptering?

Kryptografipolicy är en separat åtgärd under artikel 21

Ja, detta är en av de tio åtgärder som artikel 21 stycke 2 NIS2 nämner: under e står "policy och procedurer för användning av kryptografi och, där så är lämpligt, kryptering". Frågan gäller således specifikt huruvida det finns ett dokument som fastställer när och hur kryptering tillämpas — inte huruvida data krypteras någonstans. En fråga om detta i en frågeformulär gäller vanligen själva policydokumentet, inte en teknisk implementering.

Vad som räknas som bevis är vanligen en kryptografipolicy eller ett avsnitt om detta i informationssäkerhetspolicyn: vilka datakategorier som krypteras (data at rest, data in transit), vilka algoritmer eller standarder som är minimikrav, och vem som beslutar om undantag. Om det dokumentet saknas är "nej" det ärliga svaret — en separat teknisk åtgärd såsom TLS på webbplatsen är inte en policy. Detta ämne hänger ofta samman med åtkomstpolicy och hantering av företagstillgångareftersom krypteringskrav ofta förekommer där, och med den periodiska testningen av säkerhetskontrollereftersom en revisor vanligen kontrollerar huruvida policyn också tillämpas.

Var detta framgår: artikel 21 stycke 2 under e

Artikel 21 stycke 2 NIS2 räknar upp tio kategorier av åtgärder som enheter "minst" måste vidta; under e står kryptografi och krypteringspolicy med "där så är lämpligt" — direktivet föreskriver således ingen specifik algoritm eller specifik nyckellängd, men kräver väl att en enhet som omfattas av NIS2 har en välavvägd policy om detta. För frågan huruvida det gäller företaget självt är det först relevant om det själv omfattas av NIS2-direktivet eller den nationella genomförningen av detom det inte omfattas kan en kund ändå ställa denna fråga avtalsmässigt, men då finns ingen lagstiftningsbestämmelse som tvingar svaret.