spørgeskemaet spørger efter politik for mobilenheder og bærbare computere tilhørende medarbejdere

Mobilapparatpolitik falder under adgangskontrol og virksomhedsmidler

Dette spørgsmål hører under artikel 21, stk. 2, litra i i NIS2: politik for adgangskontrol, herunder forvaltning af virksomhedsmidler ("asset management"). Telefoner og bærbare computere er virksomhedsmidler, der gør data tilgængelige uden for virksomhedens netværk, og kunden ønsker at vide, om der er kontrol herover. I praksis forventer spørgeskemaet svar på nogle få faste punkter: findes der et register over udleverede apparater, er kryptering af lagring obligatorisk, er der et minimalt krav til pinkode eller biometri, og kan en tabt eller stjålet enhed slettes eksternt (MDM — mobile device management). BYOD (bring your own device, medarbejdernes egne apparater) kommer også ofte separat op, fordi det udgør en anden risiko end virksomhedsapparater.

Hvis denne politik endnu ikke er dokumenteret, men praksis er i orden — kryptering er som standard aktiveret, adgang foregår gennem en konto med multifaktor-godkendelse — så er "nej, endnu ingen nedskrevet politik" det ærlige svar, eventuelt med en præcisering af de faktiske foranstaltninger. Svar ikke "ja" på et spørgsmål om en MDM-løsning, hvis den ikke findes; en kunde, der efterfølgende stiller spørgsmål om enhedsregistret eller hændelsesprocessen ved tab, kommer derefter uden begrundelse. Tab eller tyveri af en enhed berører også proceduren for sikkerhedsincidenter, derfor skal disse to svar stemme overens med hinanden.

Hvor dette findes: artikel 21, stk. 2 og Annex A

Artikel 21, stk. 2, litra i i Direktiv (EU) 2022/2555 nævner politik om adgangskontrol og forvaltning af virksomhedsmidler som en af ti obligatoriske foranstaltninger. ISO/IEC 27001 udarbejder dette nærmere i Annex A under beheerskningsforanstaltninger for "endpoint devices" og mobilt udstyr; organisationer, der allerede er ISO 27001-certificeret, har normalt allerede dokumenteret denne del. Cybersikkerhedsloven i Nederlandene, som implementerer NIS2 og træder i kraft den 15. august 2026, følger samme inddeling i ti foranstaltninger.