kyselylomake kysyy, työskentelevätkö työntekijät VPN-yhteydellä, kuinka perustelun sen

VPN on tekninen toimenpide, ei erillinen toimenpiteen tyyppi

VPN kuuluu pääsynhallintaan ja viestinnän salaukseen, ei omaan kategoriaan. NIS2-direktiivin 21 artiklan 2 kohdassa ei ole kirjaimellista VPN-vaatimusta; siellä olevat kymmenen toimenpidettä on muotoiltu toiminnallisesti, muun muassa f kohdassa (pääsynvalvontapolitiikka) ja h kohdassa (salaus). Asiakas, joka kysyy erityisesti VPN-yhteydestä, kääntää tämän toiminnallisen vaatimuksen yleensä yhdeksi konkreettiseksi tekniikaksi — usein siksi, että hänen oma kyselylomakkeen muoto edellyttää sitä, ei siksi, että laki käyttäisi tätä sanaa.

Jos työntekijät työskentelevät etäyhteyden kautta VPN-yhteyden välityksellä, perustelut koostuvat yleensä pääsynvalvontapolitiikan osasta, jossa VPN on vaadittu etäyhteydelle, mahdollisesti täydennettynä hallintaohjelmiston yleiskatsauksella tai kuvakaappauksella hallintakonsoolista. Jos tämä asiakirja puuttuu, on "ei" lyhyen selvityksen kanssa (esimerkiksi: etäyhteys toimii muun valvotun menetelmän kautta) parempi kuin VPN-vastaus ilman lähteita — tiedosto sisältää vain sen, mitä se voi perustellukseen, ja epäselvissä tapauksissa kenttä jää avoimeksi omaa täyttöä varten. Tämä on sopusoinnussa pääsynvalvonnan politiikkaan ja liiketoimintavälineiden hallintaankanssa, jossa VPN on tyypillisesti yksi mainituista tarkastuksista salasanapoliittisen ja laittenhallinnan ohella.

Lähde: Liite A ja artikla 21 kohta 2

ISO/IEC 27001 -standardin Liite A mainitsee verkkoturvallisuuden ja salausmenetelmät hallintomenettelyiksi, mutta siinäkään VPN-yhteyttä ei mainita nimellä — se on toteutuusvalinta laajemman hallintakeinon alla. Yritykset, jotka ovat jo ISO 27001 -sertifioituja, voivat vastata tähän kysymykseen yleensä viittaamalla Sovellettavuusselosteeseen muodollisen VPN-todisteen etsimisen sijaan; katso mitä ISO 27001 -sertifikaatti kattaa ja mitä ei. Yrityksille, jotka joutuvat Kyberturvallisuuslain soveltamisalaan 15. elokuuta 2026 voimaantulon myötä, pätee sama NIS2-muunnosten toiminnallinen muotoilu — laki määrää tavoitteen, ei keinoa.