spørgeskemaet spørger, om medarbejdere arbejder via VPN, hvordan underbygger jeg det

VPN er en teknisk foranstaltning, ikke en separat foranstaltningstype

VPN falder under adgangskontrol og kryptering af kommunikation, ikke under en egen kategori. I artikel 21, stk. 2 i NIS2-direktivet er der ingen ordret VPN-krav; de ti foranstaltninger dér er formuleret funktionelt, bl.a. under f (adgangspolitik) og h (kryptering). En kunde, der specifikt spørger om VPN, oversætter normalt dette funktionelle krav til én konkret teknik — ofte fordi hans eget spørgeskemaformat dikterer det, ikke fordi loven bruger det ord.

Hvis medarbejdere arbejder eksternt via VPN, er begrundelsen normalt et afsnit af adgangspolitikken, hvori VPN er en betingelse for ekstern adgang, eventuelt suppleret med et konfigurationsoversigt eller et skærmbillede fra administrationskonsollen. Hvis dokumentet mangler, er "nej" med en kort forklaring (for eksempel: ekstern adgang foregår via en anden kontrolleret metode) bedre end et VPN-svar uden kilde — dosseret udfylder kun det, det kan dokumentere, og ved tvivl forbliver feltet åbent for selvudfyldelse. Dette er i overensstemmelse med adgangskontrol og forvaltning af virksomhedsmidler, hvor VPN typisk er én af de nævnte kontroler sammen med passwordpolitik og enhedsstyring.

Hvor dette stammer fra: Annex A og artikel 21, stk. 2

ISO/IEC 27001 Annex A nævner netværkssikkerhed og kryptografiske foranstaltninger som kontrolforanstaltninger, men heller ikke dér står VPN ved navn — det er et implementeringsvalg under en bredere kontrol. Organisationer, der allerede er ISO 27001-certificerede, kan normalt henvise til erklæringen om anvendelse til denne spørgsmål i stedet for at søge efter et separat VPN-bevis; se , hvilke ISO 27001-certifikater dækker og ikke dækker. For virksomheder, der selv falder under cybersikkerhedsloven, når den træder i kraft den 15. august 2026, gælder samme funktionelle formulering fra NIS2-omzettelsen — loven foreskriver målet, ikke midlet.