kunde spørger, hvordan vi sikrer hjemmearbejde og BYOD, hvad skal jeg udfylde

Hjemmearbejde og BYOD falder ind under adgangspolitik og kryptering

Dette spørgsmål kommer normalt ikke som en selvstændig del, men som en udarbejdelse af to af de ti foranstaltninger fra artikel 21, stk. 2 i NIS2: adgangspolitik (punkt i) og kryptering (punkt h). Kunden ønsker at vide, hvordan du forhindrer, at en privat telefon eller hjemme-laptop bliver et lak til virksomhedens systemer. Udfyld det, du faktisk har: MDM (mobile device management) på BYOD-enheder, obligatorisk diskkryptering, et VPN-krav til fjernadgang, og adskilte profiler til arbejde og privat. Hvis du ikke har MDM, men til gengæld har en teknisk begrænsning — for eksempel at virksomhedsdata kun er tilgængeligt via en browserportal uden lokal lagring — så er det et gyldigt svar, ikke en nødløsning.

Hvis en BYOD-politik mangler helt, dvs. ingen teknisk eller organisatorisk adskillelse mellem privat og arbejde, så er "nej" det rigtige svar. En liste uden BYOD-ordning er dog ikke automatisk et problem: i Annex A af ISO/IEC 27001 falder dette under kontrolforanstaltninger for endpoints og adgang, og mange virksomheder modvirker risikoen ved kun at tillade hjemmearbejde via en erhvervsenhed — så er der intet om BYOD at bekræfte, vel at adgangspolitikken og styringen af virksomhedsressourcerCheck også, om der er fastsat noget om multifaktor-autentifikation ved adgang til virksomhedens systemer, fordi dette spørgsmål ofte hører til i samme blok og bliver ellers besvaret dobbelt med modstridende svar.

Hvor det præcist står: artikel 21, stk. 2, punkterne h og i

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner under h politik om kryptering og kryptering, og under i sikkerhed for personale, adgangspolitik og håndtering af virksomhedsmidler — det omfatter det udstyr, som medarbejdere får adgang gennem, altså også private telefoner og hjemme-arbejdslaptops. I Cybersikkerhedsloven, den hollandske omformning af denne direktiv, kommer de samme ti foranstaltninger tilbage; loven træder i kraft den 15. august 2026. ISO/IEC 27001 Annex A uddyber dette yderligere i separate kontrolforanstaltninger for endpoint-udstyr, fjernadgang og adgangskontrol, hvilket forklarer, hvorfor kunder nogle gange stiller dette som ét spørgsmål og nogle gange som tre separate spørgsmål.