spørgeskemaet spørger, hvordan vi sikrer hjemmearbejde og fjernacces

Fjernadgang falder under adgangspolitik og MFA

Spørgsmålet om hjemmearbejde og fjernadgang er normalt en kombination af to ud af ti foranstaltninger fra artikel 21, stk. 2 i NIS2: punkt (i) om adgangspolitik og forvaltning af virksomhedsaktiver, og punkt (j) om brug af multi-factor-autentificering. Kunder, der stiller dette spørgsmål separat, ønsker at vide, hvordan en medarbejder får adgang til virksomhedssystemer fra et privat netværk eller egen bærbar computer, og hvilke barrierer der er involveret. En VPN-forbindelse alene er ikke et svar på dette spørgsmål — det handler om kombinationen af krypteret forbindelse, autentificering og apparatforvaltning.

Konkrete bevis består normalt af tre dele: en VPN- eller zero-trust-konfiguration med kryptering, et MFA-krav, der også gælder for ekstern adgang (ikke kun for virksomhedsnetværket), og et oversigt over, hvilke apparater der må få adgang — private eller erhvervsmæssige. Hvis der kører en Mobile Device Management-løsning, er det et stærkt bevisstykke. Hvis det mangler, er svaret ofte "nej" på apparatforvaltnings-delen, selv hvis MFA er på plads. Udfyld derefter separat for hver del, hvad der er og ikke er reguleret, i stedet for ét samlet "ja" eller "nej" — det forhindrer et uretmæssigt "nej" på et spørgsmål, der egentlig er halvt korrekt. Hvis kryptering af selve trafikken er genstand for spørgsmålet, hører det snarere til politikken for kryptografi og kryptering end til adgang. Hvis du er usikker på, hvilket felt dette præcist vedrører, skal du også kontrollere, om spørgsmålet faktisk handler om adgangspolitikken inklusive styring af virksomhedsaktiver — ofte er det nemlig to adskilte delspørgsmål pakket ind i én linje.

Hvor dette findes: artikel 21, stk. 2, punkterne i og j

Artikel 21, stk. 2 i direktiv (EU) 2022/2555 nævner adgangspolitik og forvaltning af virksomhedsaktiver som punkt (i) og brug af multi-factor-autentificering eller kontinuerlig autentificering som punkt (j), ved siden af kryptering som punkt (h). ISO/IEC 27001 Annex A udvikler dette yderligere i kontroller om adgangssikring og udstyr uden for virksomheden. Cybersikkerhedsloven overtager denne inddeling, når den træder i kraft den 15. august 2026, så strukturen af spørgsmålet ændres ikke — men hvem der er forpligtet til at svare.