come compilo la domanda sulla sicurezza del lavoro da remoto

Il lavoro da casa rientra nella politica di accesso e MFA, non in una sezione separata

La domanda sul lavoro da casa di solito non è un tema indipendente, ma un'articolazione di due delle dieci misure dell'articolo 21 paragrafo 2 NIS2: politica di accesso (punto i) e l'uso di autenticazione a più fattori o connessioni sicure equivalenti (punto j). Non compilarla quindi separatamente, ma in modo coerente con quanto hai già risposto a la politica di accesso e la gestione dei beni aziendali e in la domanda sull'autenticazione a più fattori. Se la risposta lì non corrisponde a ciò che dici qui, è la prima cosa che un valutatore noterà.

Concretamente il cliente di solito vuol sapere: i dipendenti accedono tramite una VPN o una connessione zero-trust, l'MFA è obbligatoria su quella connessione, esiste una policy sui dispositivi per i laptop privati rispetto a quelli aziendali, e c'è una regola di base sul wifi pubblico. Se non disponi di questo come documento di policy separato ma come paragrafo in un regolamento ICT più ampio, è sufficiente come documento probatorio — cita la sezione, non l'intero documento. Se manca uno dei quattro punti, non rispondere automaticamente "no": indica ciò che esiste (ad esempio MFA sì, device-policy no) e lascia che il cliente valuti da solo la domanda di follow-up. Se non hai nessuno dei due, allora "no, non ancora formalizzato" è di fatto più corretto di un "sì" parziale che non puoi sostenere.

Da dove proviene: articolo 21 paragrafo 2, punti i e j

L'articolo 21 paragrafo 2 NIS2 cita al punto i "politiche e procedure relative all'uso della crittografia" — no, quello è il punto h; il punto i riguarda la sicurezza del personale, la politica di accesso e la gestione degli asset, e il punto j specificamente l'uso di soluzioni di autenticazione a più fattori o di autenticazione continua, comunicazione crittografata e comunicazione di emergenza protetta all'interno dell'entità. ISO/IEC 27001 Annex A lo sviluppa ulteriormente con i controlli per il lavoro remoto e l'accesso alla rete. La Legge sulla cibersicurezza riprenderà questa classificazione senza modifiche una volta che entrerà in vigore il 15 agosto 2026, quindi una risposta che già oggi si allinea a questi due punti rimane utilizzabile dopo quella data.