el cuestionario pregunta si los empleados trabajan a través de VPN, cómo lo justifico

VPN es una medida técnica, no un tipo de medida separado

VPN se incluye en la protección del acceso y el cifrado de las comunicaciones, no en una categoría propia. El artículo 21, apartado 2 de la Directiva NIS2 no establece un requisito de VPN literal; las diez medidas allí enumeradas se formulan en términos funcionales, entre otros en la letra f (política de acceso) y h (cifrado). Un cliente que pregunta específicamente por VPN suele traducir ese requisito funcional a una técnica concreta — a menudo porque su propio formato de cuestionario lo determina así, no porque la ley utilice esa palabra.

Si los empleados trabajan de forma remota a través de VPN, la justificación suele ser un apartado de la política de acceso en el que VPN es un requisito para el acceso externo, complementado si es necesario con un resumen de configuración o una captura de pantalla de la consola de administración. Si falta ese documento, entonces "no" con una breve explicación (por ejemplo: el acceso remoto se realiza a través de otro método controlado) es mejor que una respuesta sobre VPN sin fuente — el expediente solo incluye lo que puede justificar, y en caso de duda el campo permanece abierto para su cumplimentación — lo que se alinea con la política de acceso y gestión de activos empresariales, donde VPN es típicamente uno de los controles mencionados junto con la política de contraseñas y la gestión de dispositivos.

De dónde viene esto: Anexo A y artículo 21, apartado 2

ISO/IEC 27001 Annex A menciona la seguridad de la red y las medidas criptográficas como medidas de control, pero tampoco allí aparece VPN por su nombre — es una opción de implementación dentro de un control más amplio. Quienes ya están certificados en ISO 27001 pueden, para esta pregunta, remitirse generalmente a la Declaración de Aplicabilidad en lugar de buscar una prueba de VPN separada; véase qué cubre y qué no cubre un certificado ISO 27001. Para las empresas que pasen a estar sujetas a la Ley de Ciberseguridad cuando entre en vigor el 15 de agosto de 2026, se aplica la misma formulación funcional de la transposición de NIS2 — la ley prescribe el objetivo, no el medio.