el cuestionario pregunta sobre nuestra política para dispositivos móviles y portátiles

La política de dispositivos móviles se incluye en la gestión de activos y acceso

Esta pregunta corresponde al artículo 21 apartado 2 letras d e i de la Directiva NIS2: seguridad en la adquisición, desarrollo y mantenimiento, y política de control de acceso incluidos los activos empresariales. Los portátiles y teléfonos son "activos" — medios empresariales en los que se encuentran datos empresariales o que permiten acceso a sistemas. Por lo tanto, el cliente desea saber si existe una política escrita que regule: quién puede utilizar cada dispositivo, cómo está encriptado, qué ocurre en caso de pérdida o robo, y si el uso privado de dispositivos empresariales (o viceversa, BYOD) está permitido y bajo qué condiciones.

Si no existe un documento separado "política de dispositivos móviles", eso no es inmediatamente un problema — comprueba si su núcleo ya se encuentra en algún lugar: en la política de acceso incluyendo activos empresariales, en una declaración ISO 27001 en el Anexo A (la gestión de activos y la política de dispositivos móviles se incluyen allí como medidas de control), o en un manual de TI. Si falta completamente, entonces "no" es la respuesta honesta — una política escrita es algo diferente de la práctica suelta sin documentación. El cifrado de los dispositivos en sí también forma parte de esto; eso se superpone con la pregunta sobre criptografía y cifrado, y es útil saber qué respuesta ya se ha dado al respecto, para que las dos no sean contradictorias.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21 apartado 2 de la Directiva NIS2 menciona bajo i "seguridad del personal, política de acceso y gestión de activos empresariales" como una de las diez medidas obligatorias; los dispositivos móviles se incluyen en este último. ISO/IEC 27001 lo desarrolla en el Anexo A, con medidas de control específicas para "mobile devices" y "asset management" — una organización con un certificado ISO 27001 generalmente ya tiene documentada esta parte. La Ley de Ciberseguridad transpone esta obligación a la ley holandesa y entra en vigor el 15 de agosto de 2026; hasta esa fecha, la directiva en sí es el punto de referencia, no la ley nacional.