kunde spørger, hvordan vi sikrer hjemmearbejde, hvad udfylder jeg der

Hjemmearbejde falder under adgangskontrol, ikke under en separat foranstaltning

Der er intet særskilt punkt om "hjemmearbejde" i artikel 21, stk. 2 NIS2 eller i Annex A til ISO 27001. Spørgsmålet dækkes i praksis af en kombination: adgangskontrol og styring af virksomhedsaktiver, multifaktorautentificering og eventuelt kryptering for data, der forlader virksomhedsnetværket. Når din kunde spørger "hvordan sikrer I hjemmearbejde", er det som regel en forkortet version af: hvordan reguleres adgangen til virksomhedssystemer fra et sted uden for kontoret, og på hvilket apparat.

Konkret søger revisoren efter tre ting. For det første: er adgangen til systemer og data hjemmefra bundet til en administreret konto, med adgangspolitikken og styringen af virksomhedsressourcer som fastlagt dokument. For det andet: er multifaktorautentificering obligatorisk for denne adgang — uden MFA er "ja, sikret" som regel ikke et holdbart svar, se multifaktorautentificering for virksomhedssystemer. For det tredje: er der kryptering på apparatet eller forbindelsen (VPN, diskkryptering), hvis der lagres følsomme data lokalt. Hvis du ikke har MFA eller ingen VPN-krav, skal du svare "nej" eller "delvis" — et foreslået "ja" uden underliggende politik er ikke et bevisstykke, det er et gæt, og det gæt dukker op igen under revisionen.

Bevisstykket er politikdokumentet, ikke et skærmbillede

Det bevis, der som regel bliver anmodet om, er selve adgangspolitikken (med passagen om eksternt arbejde eller fjernadgang) plus en eksport fra identity-provider'en, der viser MFA-tvang. Et screenshot af én computer er ikke bevis for processen. I henhold til cybersikkerhedsloven — den danske implementering, der træder i kraft den 15. august 2026 — kommer det samme krav tilbage via de ti foranstaltninger i artikel 21, stk. 2 NIS2; den, der allerede nu har adgangskontrol og MFA i orden, har dermed også et forspring for denne forpligtelse. Dette er dog adskilt fra spørgsmålet om din egen virksomhed selv falder under direktivet som enhed under NIS2 eller den nationale implementering — det afgør, om du skal, ikke hvad du udfylder her.