zákazník se ptá, jak zabezpečujeme práci z domova, co tam vyplním

Práce z domova spadá pod zásady řízení přístupu, nikoli pod samostatné opatření

V článku 21 odst. 2 NIS2 nebo v Příloze A normy ISO 27001 není samostatný bod "práce z domova". Otázka je v praxi řešena kombinací: zásady řízení přístupu a správa firemních prostředků, vícefaktorová autentizace a případně kryptografie pro data, která opouštějí firemní síť. Pokud váš klient ptá "jak chráníte práci z domova", je to obvykle zkrácená verze: jak zabezpečujete přístup do firemních systémů z lokality mimo kancelář a na jakém zařízení.

Konkrétně auditor hledá tři věci. Zaprvé: je přístup k systémům a datům z domova vázán na spravovaný účet, s zásad přístupu a správy podnikových prostředků jako dokumentovaná část. Zadruhé: je vícefaktorová autentizace povinná pro tento přístup — bez MFA je "ano, zabezpečeno" obvykle neudržitelná odpověď, viz vícefaktorová autentizace pro firemní systémy. Zatřetí: je přítomna šifra na zařízení nebo připojení (VPN, šifra disku), pokud jsou citlivá data ukládána lokálně. Nemáte-li MFA nebo neevidujete-li povinnost VPN, odpovězte "ne" nebo "částečně" — navrhovaná odpověď "ano" bez podkladového pravidla není doklad, je to hádání, a toto hádání se vrátí v auditu.

Dokladem je politický dokument, nikoli snímek obrazovky

Důkazem, který se obvykle požaduje, je samotná zásada řízení přístupu (s oddílem o externí práci nebo vzdáleném přístupu) plus export z poskytovatele identity, který dokazuje vynucování MFA. Snímek jednoho notebooku není důkazem procesu. Podle zákona o kybernetické bezpečnosti — české transpozice, která vstoupí v platnost 15. srpna 2026 — se stejná povinnost objevuje prostřednictvím deseti opatření článku 21 odst. 2 NIS2; kdo má nyní zásady řízení přístupu a MFA v pořádku, má tímto také předstih vůči této povinnosti. Mimochodem to je odděleno od otázky, zda vaše vlastní podnikání samo spadá pod směrnici jako entita podle NIS2 nebo národní transpozice — to určuje, zda musíte, ne co zde vyplníte.