el cliente pregunta cómo protegemos el teletrabajo y el BYOD qué relleno

El trabajo desde casa y BYOD se incluyen en la política de acceso y criptografía

Esta pregunta generalmente no aparece como un apartado independiente, sino como desarrollo de dos de las diez medidas del artículo 21 apartado 2 NIS2: política de acceso (apartado i) y criptografía (apartado h). El cliente quiere saber cómo prevenir que un teléfono privado o un portátil de casa se conviertan en una vía de filtración hacia los sistemas de la empresa. Indique lo que tiene realmente: MDM (mobile device management) en dispositivos BYOD, cifrado de disco obligatorio, requisito de VPN para acceso remoto y perfiles separados para trabajo y uso privado. Si no tiene MDM pero sí una restricción técnica —por ejemplo, que los datos empresariales solo sean accesibles a través de un portal de navegador sin almacenamiento local— entonces es una respuesta válida, no una solución provisional.

Si falta completamente una política BYOD, es decir, no existe ninguna separación técnica u organizativa entre uso privado y profesional, entonces "no" es la respuesta correcta. Una lista sin regulación BYOD no es automáticamente un problema: en el Anexo A de ISO/IEC 27001 se incluye entre las medidas de control para endpoints y acceso, y muchas empresas mitigan el riesgo permitiendo solo el trabajo desde casa con dispositivos empresariales —en ese caso no hay nada sobre BYOD que confirmar, pero sí sobre la política de acceso y la gestión de activos. Verifique también si hay algo documentado sobre autenticación multifactor en el acceso a sistemas empresariales, ya que esta pregunta suele aparecer en el mismo bloque y de otro modo se respondería dos veces con respuestas contradictorias.

Dónde aparece exactamente esto: artículo 21 apartado 2, apartados h e i

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona bajo h la política sobre criptografía y cifrado, y bajo i la seguridad del personal, la política de acceso y la gestión de activos empresariales —que incluye el equipamiento con el que los empleados acceden, es decir, también teléfonos personales y portátiles para trabajar desde casa. En la Ley de Ciberseguridad, la transposición holandesa de esta directiva, se recogen las mismas diez medidas; la ley entra en vigor el 15 de agosto de 2026. ISO/IEC 27001 Anexo A lo desarrolla más en medidas de control independientes para equipos endpoint, teletrabajo y control de acceso, lo que explica por qué los clientes a veces lo plantean como una pregunta y otras veces como tres preguntas separadas.