Wat houdt deze control in?
Regels voor gebruik van cryptografie en sleutelbeheer moeten worden vastgesteld.
Waarom is dit verplicht?
Zonder encryptie is gevoelige overheidsinformatie kwetsbaar bij onderschepping of diefstal.
Praktische implementatie
- Stel een cryptografiebeleid op met goedgekeurde algoritmen
- Versleutel gevoelige data in rust en in transit
- Implementeer een sleutelbeheerproces inclusief rotatie
- Gebruik uitsluitend NCSC-goedgekeurde algoritmen
Aandachtspunten voor de overheid
Bereid je voor op de migratie naar post-quantum cryptografie (PQC). Gebruik crypto-agility zodat algoritmen vervangbaar zijn, en volg de PQC-adviezen van NCSC en AIVD/NBV. Begin met het inventariseren waar (kwetsbare) cryptografie wordt gebruikt.
Relatie met andere controls
Gerelateerd aan 8.7 (bescherming tegen malware), 8.20 (netwerkbeveiliging).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt regels vast voor het gebruik van cryptografie en sleutelbeheer. De overheidsmaatregelen vereisen een cryptografiebeleid dat minimaal uitwerkt wanneer cryptografie wordt ingezet, wie verantwoordelijk is voor implementatie en sleutelbeheer, hoe registratie plaatsvindt, welke normen gelden en hoe het beschermingsniveau wordt vastgesteld; dat cryptografische beheersmaatregelen in de inventaris van bedrijfsmiddelen staan (inzetlocatie, verantwoordelijke, actueel houden); dat de sterkte is gebaseerd op actuele NCSC- en AIVD/NBV-adviezen; en dat er afspraken zijn over reservecertificaten van een alternatieve leverancier waar dat voor de continuïteit nodig is. Zonder encryptie is gevoelige overheidsinformatie kwetsbaar. Houd rekening met de impact van kwantumcomputing.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een cryptografiebeleid op dat minimaal uitwerkt: wanneer cryptografie wordt ingezet, wie verantwoordelijk is voor implementatie en sleutelbeheer, hoe registratie plaatsvindt, welke normen gelden en hoe het beschermingsniveau wordt vastgesteld.
- ›Neem cryptografische beheersmaatregelen op in de inventaris van bedrijfsmiddelen (inzetlocatie, verantwoordelijke, wijze van actueel houden).
- ›Baseer de sterkte van de cryptografie op actuele adviezen van het NCSC en de AIVD/NBV en versleutel gevoelige data in rust en in transit.
- ›Maak afspraken over reservecertificaten van een alternatieve leverancier waar de risicoafweging dit voor de continuïteit vereist.
- ›Implementeer een sleutelbeheerproces met rotatie en houd rekening met de impact van kwantumcomputing (crypto-agility).verdieping
Bewijs dat je kunt verzamelen
- ›Het cryptografiebeleid met de verplichte onderwerpen
- ›Cryptografische beheersmaatregelen in de inventaris van bedrijfsmiddelen
- ›Onderbouwing dat de sterkte op NCSC-/AIVD/NBV-adviezen berust
- ›Afspraken over reservecertificaten en het sleutelbeheerproces (incl. rotatie)
Wat je bij een audit moet kunnen aantonen
- ›Dat een cryptografiebeleid met de verplichte onderwerpen bestaat
- ›Dat cryptografische maatregelen in de inventaris staan
- ›Dat de sterkte op actuele NCSC-/AIVD/NBV-adviezen is gebaseerd
- ›Dat reservecertificaat-afspraken bestaan waar nodig
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een cryptografiebeleid (met de verplichte onderwerpen) vastgesteld?
- ›Is opname in de inventaris en sleutelbeheer belegd?
- ›Zijn normen (NCSC/AIVD-NBV) en reservecertificaat-afspraken bepaald?
- ›Is het beleid vastgesteld en toegepast?
- ›Staan cryptomaatregelen in de inventaris?
- ›Is data in rust/transit versleuteld?
- ›Wordt de sterkte actueel gehouden op basis van adviezen?
- ›Vindt sleutelrotatie plaats?
- ›Zijn reservecertificaat-afspraken beschikbaar bij continuïteitsissues?
Gekoppelde overheidsmaatregel(en)
• Wanneer cryptografie ingezet wordt.
• Wie verantwoordelijk is voor de implementatie.
• Wie verantwoordelijk is voor het sleutelbeheer.
• Hoe geregistreerd wordt waar welke cryptografie toegepast wordt.
• Welke normen als basis dienen voor cryptografie en de wijze waarop de passende normen van het Forum Standaardisatie worden toegepast.
• De wijze waarop het beschermingsniveau vastgesteld wordt.
• Bij communicatie tussen entiteiten wordt het beleid onderling vastgesteld.
Voor alle cryptografische beheersmaatregelen is vastgesteld waar ze worden ingezet, wie ervoor verantwoordelijk is en hoe ze actueel worden gehouden.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.