il questionario chiede la nostra politica per i dispositivi mobili e i laptop

La politica per i dispositivi mobili rientra nella gestione degli asset e nell'accesso

Questa domanda rientra nell'articolo 21 paragrafo 2 lettere d e i della direttiva NIS2: sicurezza nell'acquisizione, sviluppo e manutenzione, e politica di controllo degli accessi inclusa la gestione dei beni aziendali. I laptop e i telefoni sono "asset" — beni aziendali su cui sono archiviati dati aziendali o tramite i quali esiste l'accesso ai sistemi. Il cliente vuole quindi sapere se esiste una politica scritta che stabilisca: chi può utilizzare quale dispositivo, come è crittografato, cosa accade in caso di perdita o furto, e se l'uso privato di dispositivi aziendali (o viceversa, BYOD) è consentito e secondo quali condizioni.

Se non esiste un documento separato "mobile device policy", non è necessariamente un problema — verificate se il contenuto essenziale si trova già da qualche parte: nella politica di controllo degli accessi inclusa la gestione dei beni aziendali, in una dichiarazione ISO 27001 nell'Allegato A (la gestione degli asset e la politica per i dispositivi mobili sono incluse come misure di controllo), oppure in un manuale IT. Se manca completamente, allora "no" è la risposta corretta — una politica scritta è diversa da una pratica isolata senza documentazione. Anche la crittografia dei dispositivi stessi rientra in questa categoria; ciò si sovrappone alla domanda su crittografia e cifratura, ed è utile sapere quale risposta è già stata fornita in merito, in modo che le due non siano contraddittorie.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 elenca alla lettera i "sicurezza del personale, politica di controllo degli accessi e gestione dei beni aziendali" come una delle dieci misure obbligatorie; i dispositivi mobili rientrano in quest'ultimo aspetto. ISO/IEC 27001 sviluppa ulteriormente ciò nell'Allegato A, con specifiche misure di controllo per "mobile devices" e "asset management" — un'organizzazione con certificazione ISO 27001 di solito ha già documentato questa parte. La Legge sulla cibersicurezza recepisce questo obbligo nel diritto nazionale olandese e entrerà in vigore il 15 agosto 2026; fino a quella data la direttiva stessa è il punto di riferimento, non la legge nazionale.