le questionnaire demande si les postes de télétravail sont sécurisés que je réponds

Les postes de travail à domicile relèvent de la politique d'accès, non d'un thème distinct

Aucune réponse séparée pour « télétravail » n'est nécessaire : la question porte en pratique sur le contrôle d'accès, l'authentification et la sécurité des équipements terminaux. Si ceux-ci sont en ordre, le télétravail est couvert. Répondez donc à la question en faisant référence aux mêmes mesures que celles que vous utilisez déjà pour les postes de travail de bureau : qui a accès à quels systèmes, avec quel équipement et via quelle connexion.

Concrètement, le client cherche trois choses : un VPN ou une autre connexion chiffrée aux systèmes d'entreprise, l'authentification multifacteur pour l'accès externe, et la gestion des ordinateurs portables et téléphones que les collaborateurs utilisent à domicile (niveau de correctifs, chiffrement de disque, politique de mot de passe). Si vous avez documenté cela, alors « oui » peut être justifié. S'il manque l'un des trois — par exemple, l'AMF n'est obligatoire qu'au bureau, pas en télétravail — alors la réponse est « partiellement » avec une explication de quelle partie est en place. Vérifiez cela contre la politique d'accès et de la gestion des actifs et contre le statut de l'authentification multifacteur: ce sont les deux documents du dossier sur lesquels repose cette réponse. Si vous n'avez pas de VPN mais une autre forme d'accès chiffré, nommez-le spécifiquement — « sécurisé » sans justification ne produit pas une réponse utile.

À rapporter à l'article 21, paragraphe 2, non à une norme de télétravail autonome

NIS2 ne connaît pas d'article distinct sur le télétravail. Les dix mesures de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 énumèrent la politique d'accès et la gestion des actifs informatiques (point i) et l'utilisation de l'authentification multifacteur ou de l'authentification continue (point j) comme catégories distinctes — le télétravail en est une application, non une catégorie autonome. Dans une implémentation ISO 27001, cela relève des mesures Annex A pour la sécurité d'accès et les équipements en dehors des locaux de l'entreprise. Si le client demande donc des « postes de travail à domicile sécurisés », la réponse est en fait un extrait de votre politique d'accès plus large, et c'est aussi là que vous cherchez le document justificatif.