seznam otázek se ptá na politiku pro mobilní zařízení a notebooky zaměstnanců

Zásady pro mobilní zařízení spadají pod řízení přístupu a správu podnikových prostředků

Tato otázka se týká článku 21 odst. 2 písm. i směrnice NIS2: zásady řízení přístupu, včetně správy podnikových prostředků ("asset management"). Telefony a laptopy jsou podnikové prostředky, které umožňují přístup k datům mimo síť kanceláře, a zákazník chce vědět, zda je to pod kontrolou. V praxi se očekává odpověď na několik pevně daných bodů: existuje seznam vydaných zařízení, je šifrování úložiště povinné, je tam požadavek na minimální PIN nebo biometrii, a lze ztracené nebo украdenné zařízení vymazat na dálku (MDM — správa mobilních zařízení). BYOD (bring your own device, vlastní zařízení zaměstnanců) se často objevuje samostatně, protože představuje jiné riziko než podniková zařízení.

Pokud tato zásada ještě není zdokumentována, ale praxe je v pořádku — šifrování je zapnuto standardně, přístup probíhá přes účet s vícefaktorové ověřování — pak je "ne, zatím žádné zdokumentované zásady" správná odpověď, případně s vysvětlením skutečných opatření. Neříkejte "ano" na otázku týkající se řešení MDM, pokud tam není; zákazník, který se pak ptá dál na seznam zařízení nebo postup při ztrátě, tak zůstane bez zdůvodnění. Ztráta nebo krádež zařízení se týká také postupu pro bezpečnostní incidentyProto se tyto dvě odpovědi musí navzájem shodovat.

Kde se to nachází: článek 21 odst. 2 a příloha A

Článek 21 odst. 2 písm. i směrnice (EU) 2022/2555 uvedl zásady řízení přístupu a správu podnikových prostředků jako jedno z deseti povinných opatření. ISO/IEC 27001 to dále rozpracuje v příloze A pod bezpečnostními opatřeními pro "endpoint devices" a mobilní zařízení; kdo je již certifikován ISO 27001, má obvykle tuto část již zdokumentovánu. Nizozemský zákon o kybernetické bezpečnosti, který transponuje NIS2 a vstoupí v platnost 15. srpna 2026, se řídí stejným rozdělením na deset opatření.