le questionnaire demande notre politique concernant les appareils mobiles et les ordinateurs portables

La politique relative aux appareils mobiles relève de la gestion des actifs et de l'accès

Cette question relève de l'article 21, paragraphe 2, points d et i de la directive NIS2 : la sécurité lors de l'acquisition, du développement et de la maintenance, ainsi que la politique de contrôle d'accès incluant les actifs métier. Les ordinateurs portables et les téléphones sont des « actifs » — des moyens métier sur lesquels sont stockées des données d'entreprise ou par lesquels existe un accès aux systèmes. Le client souhaite donc savoir s'il existe une politique écrite qui définit : qui peut utiliser quel appareil, comment il est chiffré, ce qu'il advient en cas de perte ou de vol, et si l'utilisation personnelle d'appareils professionnels (ou inversement, BYOD) est autorisée et sous quelles conditions.

S'il n'existe pas de document distinct « politique d'appareils mobiles », ce n'est pas immédiatement un problème — vérifiez si son essence se trouve déjà quelque part : dans la politique d'accès incluant les actifs de l'entreprise, dans une déclaration ISO 27001 à l'Annexe A (la gestion des actifs et la politique d'appareils mobiles y figurent comme mesures de contrôle), ou dans un manuel informatique. S'il manque complètement, alors « non » est la réponse honnête — une politique écrite est différente d'une pratique informelle sans documentation. Le chiffrement des appareils eux-mêmes fait également partie ; cela chevauche la question sur cryptographie et chiffrement, et il est utile de savoir quelle réponse a déjà été donnée à ce sujet, afin que les deux ne se contredisent pas.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, point i de la directive NIS2 mentionne « la sécurité du personnel, la politique d'accès et la gestion des actifs » comme l'une des dix mesures obligatoires ; les appareils mobiles relèvent de ce dernier point. ISO/IEC 27001 le développe davantage dans l'annexe A, avec des mesures de contrôle spécifiques pour « mobile devices » et « asset management » — une organisation disposant d'un certificat ISO 27001 a généralement déjà documenté cette partie. La Cybersecurity Act transpose cette obligation en droit néerlandais et entre en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même est le point de référence, non la loi nationale.