küsimustik küsib, kas töötajad töötavad VPN-i kaudu, kuidas ma seda põhjendada

VPN on tehniline meede, mitte eraldi meedetüüp

VPN kuulub juurdepääsukaitsmise ja side krüpteerimise alla, mitte omaette kategooria alla. NIS2 direktiivi artikli 21 lõike 2 all ei ole otseselt VPN-i nõuet; need kümme meedet on sõnastatud funktsionaalselt, sealhulgas punktides f (juurdepääsustrateegia) ja h (krüpteerimine). Klient, kes küsib spetsiaalselt VPN-i kohta, tõlgib selle funktsionaalse nõude tavaliselt üheks konkreetseks tehnikaks — sageli seetõttu, et tema oma küsimustiku vorming seda ette näeb, mitte sellepärast, et seadus seda sõna kasutab.

Kui töötajad töötavad distantsilt VPN-i kaudu, on põhjendus tavaliselt väljast võetud juurdepääsustrateegiast, millest nähtub, et VPN on kaugejuurdepääsu nõutav meede, vajadusel täiendatud seadistuste ülevaate või juhtimiskonsoolist tehtud kuvatõmmisega. Kui see dokument puudub, on "ei" koos lühikese selgitusega (näiteks: kaugejuurdepääs toimub muu kontrollitud meetodi kaudu) parem kui VPN-vastus ilma alliketa — dossieer sisestab ainult seda, mida saab põhjendada, ja kahtluse korral jääb väli avatud iseseisva täitmise jaoks. See on kooskõlas juurdepääsupoliitikaga ja ettevõtte varade juhtimisegaartikliga, kus VPN on tavaliselt üks nimetatud kontrolle kõrval parooli- ja seadmehalduse poliitikaga.

Kust see pärineb: Lisa A ja artikkel 21 lõige 2

ISO/IEC 27001 lisa A nimetab võrgukaitsmist ja krüptograafilisi meetmeid kontrollimeetmete hulgas, kuid ka seal ei ole VPN nime järgi nimetatud — see on laiema kontrolli all olev rakendamise valik. Kes on juba ISO 27001 sertifitseeritud, saab selle küsimuse puhul tavaliselt viidata rakendatavuse deklaratsiooni (Statement of Applicability) asemel kui otsida eraldi VPN-tõendit; vt mis osas ISO 27001 sertifikaat kehtib ja mis ei kehti. Ettevõtetele, kes kuuluvad Küberneetikakaitse seaduse alla alates 15. augustist 2026, mil see jõustub, kehtib sama funktsionaalne sõnastus NIS2 ülevõttest — seadus ette näeb eesmärgi, mitte vahendi.