la lista di domande chiede la politica per dispositivi mobili e laptop dei dipendenti

La politica sui dispositivi mobili rientra nella protezione dell'accesso e nei beni aziendali

Questa domanda rientra nell'articolo 21, paragrafo 2, lettera i della NIS2: politica sulla protezione dell'accesso, inclusa la gestione dei beni aziendali ("asset management"). I telefoni e i laptop sono beni aziendali che espongono i dati al di fuori della rete dell'ufficio, e il cliente vuole sapere se esiste un controllo in proposito. In pratica, il questionario si aspetta una risposta su alcuni punti fissi: esiste un registro dei dispositivi assegnati, la crittografia dell'archiviazione è obbligatoria, esiste un requisito minimo di PIN o biometria, e il dispositivo smarrito o rubato può essere cancellato da remoto (MDM — mobile device management). Anche il BYOD (bring your own device, dispositivi personali dei dipendenti) spesso viene trattato separatamente, perché comporta un rischio diverso rispetto ai dispositivi aziendali.

Se questa politica non è ancora documentata per iscritto ma la pratica è già in ordine — la crittografia è attivata per impostazione predefinita, l'accesso avviene tramite un account con autenticazione multifattore — allora "no, nessuna politica ancora documentata" è la risposta onesta, eventualmente con una spiegazione sulle misure effettivamente adottate. Non dire "sì" a una domanda su una soluzione MDM se non esiste; un cliente che successivamente approfondisce chiedendo del registro dei dispositivi o del processo di incidente in caso di perdita, altrimenti rimane senza documentazione. La perdita o il furto di un dispositivo riguarda inoltre la procedura per gli incidenti di sicurezza, pertanto queste due risposte devono essere coerenti tra loro.

Dove si trova: articolo 21, paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2, lettera i della Direttiva (UE) 2022/2555 cita la politica sulla protezione dell'accesso e la gestione dei beni aziendali come una delle dieci misure obbligatorie. ISO/IEC 27001 la sviluppa ulteriormente nell'Allegato A, sotto le misure di controllo per "endpoint devices" e apparecchiature mobili; chi è già certificato ISO 27001 di solito ha già documentato questa parte. La legge olandese sulla sicurezza informatica, che recepisce la NIS2 ed entra in vigore il 15 agosto 2026, segue la stessa suddivisione in dieci misure.