el cliente pregunta cómo aseguramos los dispositivos móviles del personal

La gestión de dispositivos móviles se incluye en el acceso y los activos empresariales

Esta pregunta corresponde al artículo 21, apartado 2, letras d) e i) de NIS2: seguridad en la adquisición, desarrollo y mantenimiento, y control de acceso incluyendo la gestión de activos empresariales. Los teléfonos y tablets son activos empresariales ("assets") en cuanto pueden acceder a datos empresariales — correo electrónico, sistemas de clientes, unidades compartidas. El cliente quiere saber si esos dispositivos están en un estado controlable: ¿están registrados, hay un requisito de contraseña o código PIN, ¿se puede borrar un dispositivo perdido de forma remota, ¿está activada la encriptación.

Si se ejecuta una solución MDM (Mobile Device Management) — Intune, Jamf, Google Endpoint Management o similar — ese es el documento de prueba: una captura de pantalla del perfil de política, o una descripción de las reglas configuradas (código PIN, encriptación, borrado remoto, restricciones de aplicaciones). Si falta MDM, la respuesta no es automáticamente "no": muchas empresas más pequeñas lo regulan con una política bring-your-device más una declaración de usuario firmada. Describe entonces lo que sí existe, en lugar de omitir la pregunta. Este tema se superpone con la política de acceso incluyendo la gestión de activos — si allí ya existe un registro de activos y una matriz de acceso, la gestión móvil encaja lógicamente y puedes hacer referencia a la misma fuente.

Sin MDM y sin política, "por determinar" es la etiqueta honesta, no "no": muchos clientes aceptan una trayectoria de crecimiento, siempre que indiques qué existe ahora y qué vendrá. Menciona también si autenticación multifactor es obligatorio para el acceso desde dispositivos móviles — a menudo es una subpregunta separada en la misma lista y está cubierta por el mismo control.

Dónde esto reaparece en el Anexo A y la ley

En la norma ISO/IEC 27001 Anexo A, los dispositivos móviles se incluyen en las medidas de control para la gestión de activos empresariales y la seguridad del acceso; quien ya está certificado en ISO, generalmente ya tiene esta prueba disponible como parte de la política de acceso. La Ley de Ciberseguridad reemplazará a partir del 15 de agosto de 2026 las normas actuales de aplicación de NIS2 a nivel nacional, pero la clasificación de esta medida — bajo el artículo 21, apartado 2 — no cambia en ese proceso.