Dataskyddslagar för kryptering

Dataskyddslagar för kryptering är de regler, GDPR, amerikanska delstatslagar om integritet, HIPAA och NYDFS bland annat, som avgör när personuppgifter måste krypteras, tokeniseras eller maskeras, och om detta ändrar en organisations skyldigheter att anmäla dataintrång. Det är viktigt eftersom dessa lagar inte är överens om huruvida kryptering är obligatorisk, adresserbar eller bara en safe harbor-faktor. Rekommenderad åtgärd: mappa varje tillämplig lag till en specifik kontroll, en namngiven ägare och en dokumenterad bevisartefakt, snarare än att behandla "vi använder kryptering" som ett enda generellt svar.

Key Takeaways

Tjugo amerikanska delstater har omfattande lagar om konsumentintegritet i kraft från och med den 1 januari 2026, varav Indiana, Kentucky och Rhode Island är de senaste som trädde i kraft.
Artikel 32 i GDPR nämner kryptering och pseudonymisering som exempel på "lämpliga tekniska åtgärder" utan att specifikt kräva kryptering; böter kan fortfarande uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen.
HIPAA:s säkerhetsregel markerar kryptering som "adresserbar" snarare än obligatorisk, men tillsynsmyndigheter förväntar sig en dokumenterad motivering för alla täckta enheter som väljer att inte implementera den.
New Yorks NYDFS-cybersäkerhetsförordning (23 NYCRR 500) är en av få amerikanska regler som anger kryptering som ett uttryckligt krav för icke-offentlig information i vila och under överföring.
Trots åratal av förslag finns ingen heltäckande amerikansk federal integritetslag från och med 2026, vilket innebär att organisationer måste förena krav mellan GDPR, över tjugo delstatslagar och sektorregler individuellt.

Publicerad: oktober 2018. Uppdaterad: augusti 2026. Granskad av Encryption Consultings Compliance Advisory Team.

För en jämförelse sida vid sida av två viktiga ramverk, se Sammanfattning av Kaliforniens konsumentskyddslag och Jämförelse med GDPR . För EU:s cybersäkerhetsspecifika direktiv, se Allt du behöver veta om NIS2-efterlevnad . För katalogen över federala systemkontroll som många av dessa lagar refererar till indirekt, se Förhöj din säkerhet med NIST 800-53.

Vilka är dataskyddslagarna för kryptering?

Dataskyddslagar för kryptering är en delmängd av kraven inom bredare integritets- och cybersäkerhetsregler som specifikt behandlar skydd av personuppgifter genom kryptering , tokenisering eller maskering . Dessa regler styr data oavsett var de finns: i vila, i lagring, i användning under bearbetning och i rörelse över nätverk. De säger inte alla samma sak. Vissa lagar (NYDFS) föreskriver kryptering direkt. Vissa (GDPR) nämner det som ett exempel på en lämplig åtgärd utan att kräva det specifikt. Vissa (HIPAA) markerar det som "adresserbart", vilket innebär att berörda enheter måste implementera det eller dokumentera varför ett motsvarande alternativ ger samma skydd. De flesta amerikanska delstaters konsumentskyddslagar föreskriver inte kryptering direkt alls, utan behandlar det som en faktor som kan undanta ett intrång från anmälningskrav om de komprometterade uppgifterna var krypterade och nyckeln inte var det.

Hur kopplas dataskyddskrav till kontroller, ägare och bevis?

Det snabbaste sättet att förlora en revision är att svara "krypterar ni personuppgifter?" med ett enda ja eller nej. Varje lags krav kopplas till en specifik kontroll, en specifik ägare och en specifik artefakt som en revisor eller tillsynsmyndighet faktiskt kan inspektera:

Krav	Tillämplig(a) lag(ar)	kontroll	Ägare	Bevisartefakt
Kryptera reglerad data i vila	NYDFS 500.15 (obligatorisk); HIPAA-säkerhetsregel (adresserbar); de flesta delstatslagar (brott mot safe harbor)	Fullständig disk-, databas- eller filnivåkryptering med centraliserad nyckelhantering	CISO / kryptografiteam	Diagram över krypteringsarkitektur, nyckelhanteringspolicy, KMS/HSM-granskningslogg
Kryptera reglerad data under överföring	GDPR artikel 32; CCPA/CPRA; NYDFS 500.15	TLS 1.2 eller högre tillämpas på alla reglerade dataflöden	Nätverks-/infrastruktursäkerhetsteam	TLS-konfigurationsskanningsrapporter, inventering av chiffersviter
Upprätthåll en datainventering	GDPR artikel 30 (register över behandlingsaktiviteter); de flesta statliga lagar	Datamappning och klassificering som täcker alla system som innehåller reglerade data	Dataskyddsombud / integritetsteam	ROPA-dokument, dataflödesdiagram
Hantera kryptografiska nycklar	NYDFS 500.15; GDPR artikel 32; hänvisad av PCI DSS för betalningsdata	Dokumenterad nyckellivscykel: generering, rotation, destruktion	Kryptografi-/nyckelhanteringsteam	Nyckelrotationsloggar, dokumentation av KMS/HSM-policy
Meddela om intrång inom tillämpligt fönster	Allt ovanstående, med olika tidslinjer och tröskelvärden	Incidenthanteringsplan med ett krypteringsbaserat safe-harbor-bestämningssteg	Juridisk + säkerhetsincidenthantering	IR-plan, mallar för intrångsanmälningar, övningsregister i form av ett skrivblock

Vilka är implementeringsstegen för efterlevnad av dataskyddskryptering?

Inventera var reglerade personuppgifter finns i vila, i användning och under överföring, innan beslut fattas om någon specifik kontroll.
Kartlägg varje tillämplig lags krypteringsrelevanta krav, obligatoriska, adresserbara eller safe-harbor-faktor, till den inventeringen istället för att anta att en policy täcker varje jurisdiktion.
Täck luckor med kryptering, tokenisering eller maskering som matchas av det specifika kravet, inte en enda standardteknik som tillämpas överallt.
Centralisera nyckelhanteringen så att nyckelgenerering, rotation och förstöring är påvisbara för en revisor, och inte bara tekniskt implementerade någonstans.
Dokumentera bevisföremål i det format som varje lags tillsynsmyndigheter eller revisorer faktiskt begär, eftersom GDPR:s ROPA- och NYDFS-certifiering inte är utbytbara.
Öva på anmälningar av intrång mot de faktiska rapporteringsfönster som varje tillämplig lag anger, eftersom en plan som uppfyller GDPR:s 72-timmarskrav fortfarande kan missa en strängare sektorspecifik tidsfrist.

Hur ser dessa lagar ut i dagsläget, och vad har förändrats nyligen?

Det amerikanska integritetslandskapet fortsätter att expandera: tjugo stater har nu heltäckande konsumentskyddslagar i kraft från och med den 1 januari 2026, med Indiana, Kentucky och Rhode Island som de senaste tillskotten, och ansluter sig till Kalifornien, Virginia, Colorado och andra som redan har trätt i kraft. Ingen heltäckande federal integritetslag finns ännu trots upprepade förslag. GDPR:s kärntext och skyldigheter enligt artikel 32 förblir oförändrade, med böter som fortfarande uppgår till 20 miljoner euro eller 4 % av den globala årliga omsättningen, beroende på vilket som är högst. NYDFS:s 23 NYCRR 500 fortsätter att kräva kryptering av icke-offentlig information både i vila och under överföring, med begränsade undantag som i sig måste dokumenteras och granskas.

Vilka är begränsningarna med att enbart förlita sig på kryptering?

Kryptering ersätter inte de andra kontroller som dessa lagar kräver, såsom åtkomstkontroll, dataminimering och lagringsgränser.
HIPAA:s beteckning "adresserbar" betyder inte valfri i praktiken; tillsynsmyndigheter förväntar sig en dokumenterad motivering om en organisation väljer att inte implementera den.
Delstaternas integritetslagar skiljer sig åt i fråga om omfattning, tröskelvärden och undantag, så ett enda nationellt program behöver fortfarande jurisdiktionspecifika kontroller snarare än en universell policy.
Säkra hamnar för anmälan av intrång kopplade till kryptering kräver vanligtvis att det bevisas att krypteringsnyckeln inte också komprometterades tillsammans med informationen, vilket behöver ett eget bevisspår.

Checklista för granskningsklar efterlevnad av krypteringsregler för dataskydd

Datainventering och klassificering aktuell under de senaste 12 månaderna, som omfattar alla system som innehåller reglerade personuppgifter.
Kryptering i vila och under överföring implementerad och dokumenterad för varje plats som lagrar reglerad data.
En policy för nyckelhantering som täcker generering, rotation och destruktion, med loggar som en revisor kan inspektera.
En plan för anmälan av intrång testad mot varje tillämplig lags specifika rapporteringstidslinje.
Dokumentation som matchar det format som varje tillsynsmyndighet förväntar sig: en ROPA i GDPR-stil, en NYDFS-certifiering eller motsvarande för de jurisdiktioner som omfattas.

Vad skulle krypteringskonsulter rekommendera?

De flesta organisationer vi utvärderar kan beskriva sin kryptering i allmänna termer men kan inte ta fram den specifika bevisartefakt som en given tillsynsmyndighet begär, eftersom ingen från första början kopplade lagen till en kontroll och en ägare. Encryption Consultings krypteringsrådgivningstjänster bygger den kartläggningen och täcker de resulterande luckorna, våra efterlevnadsrådgivningstjänster förbereder den dokumentation som tillsynsmyndigheter och revisorer faktiskt begär, och vår CBOM Secure- plattform automatiserar den underliggande data och kryptografiska inventering som båda är beroende av.

Vanliga frågor om partihandel med mat och dryck

Vilka lagar kräver faktiskt kryptering, jämfört med att bara rekommendera det?

NYDFS föreskriver uttryckligen kryptering av icke-offentlig information. GDPR nämner kryptering som exempel på en lämplig teknisk åtgärd utan att föreskriva just den kontrollen. HIPAA markerar kryptering som adresserbar. De flesta amerikanska delstaters integritetslagar behandlar kryptering som en safe harbor-faktor för anmälan av intrång snarare än ett fristående krav.

Hur många amerikanska delstater har omfattande integritetslagar nu?

Tjugo stater från och med den 1 januari 2026, varav Indiana, Kentucky och Rhode Island var de senaste som trädde i kraft.

Garanterar kryptering av data ett undantag från anmälan om intrång?

Nej. De flesta säkra hamnar kräver att man bevisar att krypteringsnyckeln inte också komprometterades och att informationen inte på annat sätt kan dekrypteras av den part som fick åtkomst till den.

Finns det en federal integritetslag i USA ännu?

Nej. Trots åratal av förslag finns det ingen heltäckande federal integritetslag från och med 2026, vilket gör att organisationer måste förena GDPR, delstatslagar och sektorspecifika regler individuellt.

Vilka är de vanligaste bristerna i efterlevnad av regler och regler?

Att inte ha en aktuell inventering av var reglerad data faktiskt finns, eftersom all annan kontroll, inklusive kryptering, är beroende av att man först vet det.

Behöver du hjälp med att kartlägga vilka integritetslagar som gäller för dina data och täcka de resulterande krypteringsluckorna? Prata med Encryption Consultings Compliance Advisory-team.