le client demande comment nous sécurisons le télétravail, que dois-je remplir là

Le télétravail relève de la politique d'accès, non d'une mesure distincte

Il n'existe pas de point séparé « télétravail » à l'article 21, paragraphe 2, de la NIS2 ou à l'annexe A de la norme ISO 27001. La question est en pratique couverte par une combinaison : politique d'accès et gestion des actifs informatiques, authentification multifacteur, et éventuellement chiffrement des données qui quittent le réseau d'entreprise. Lorsque votre client vous demande « comment sécurisez-vous le télétravail », il s'agit généralement d'une version raccourcie de : comment réglez-vous l'accès aux systèmes d'entreprise depuis un lieu en dehors du bureau, et sur quel appareil.

Concrètement, l'évaluateur recherche trois points. Premièrement : l'accès aux systèmes et aux données à partir du domicile est-il lié à un compte géré, avec la politique d'accès et de la gestion des actifs en tant que document établi. Deuxièmement : l'authentification multifacteur est-elle obligatoire pour cet accès — sans MFA, « oui, sécurisé » n'est généralement pas une réponse tenable, voir authentification multifacteur pour les systèmes d'entreprise. Troisièmement : existe-t-il un chiffrement sur l'appareil ou la connexion (VPN, chiffrement de disque) si des données sensibles sont stockées localement. Si vous n'avez pas de MFA ou pas d'obligation VPN, répondez par « non » ou « partiellement » — un « oui » proposé sans politique sous-jacente n'est pas une preuve, c'est une hypothèse, et cette hypothèse resurgira lors de l'audit.

La preuve est le document politique, non une capture d'écran

La preuve généralement demandée est la politique d'accès elle-même (avec le passage concernant le travail externe ou l'accès à distance) plus un export du fournisseur d'identité montrant l'application de la MFA. Une capture d'écran d'un seul ordinateur portable n'est pas une preuve du processus. En vertu de la loi sur la cybersécurité — la transposition néerlandaise qui entrera en vigueur le 15 août 2026 — la même obligation réapparaît via les dix mesures de l'article 21, paragraphe 2, de la NIS2 ; quiconque a déjà mis en ordre la politique d'accès et la MFA dispose déjà d'une longueur d'avance sur cette obligation. Au demeurant, ceci est distinct de la question de savoir si votre propre entreprise relève elle-même de la directive en tant que entité soumise à la NIS2 ou à la transposition nationale — c'est ce qui détermine si vous êtes tenu de vous conformer, non ce que vous remplissez ici.