il cliente chiede come proteggiamo il lavoro da casa e BYOD cosa inserisco

Il lavoro da casa e BYOD rientrano nella politica di accesso e nella crittografia

Questa domanda solitamente non compare come elemento separato, ma come articolazione di due delle dieci misure dell'articolo 21 paragrafo 2 NIS2: politica di accesso (punto i) e crittografia (punto h). Il cliente vuole sapere come si evita che un telefono privato o un laptop domestico diventi una falla verso i sistemi aziendali. Compila quello che hai effettivamente: MDM (mobile device management) su dispositivi BYOD, cifratura obbligatoria del disco, un obbligo VPN per l'accesso remoto, e profili separati per lavoro e privato. Se non hai MDM ma disponi di una restrizione tecnica — ad esempio che i dati aziendali sono accessibili solo tramite un portale browser senza archiviazione locale — allora è una risposta valida, non una soluzione di ripiego.

Se una politica BYOD manca completamente, quindi nessuna separazione tecnica o organizzativa tra privato e lavoro, allora "no" è la risposta corretta. Un questionario senza regolamentazione BYOD non è comunque automaticamente un problema: nell'Allegato A di ISO/IEC 27001 rientra tra le misure di controllo per endpoint e accesso, e molte aziende mitigano il rischio consentendo il lavoro da casa solo su dispositivi aziendali — allora non c'è nulla da confermare su BYOD, bensì su la politica di accesso e la gestione dei beni aziendali. Controlla anche se c'è qualcosa di registrato su autenticazione a più fattori per l'accesso ai sistemi aziendali, perché quella domanda spesso compare nello stesso blocco e altrimenti viene risolta due volte con risposte contraddittorie.

Dove si trova esattamente: articolo 21 paragrafo 2, punti h e i

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 menciona al punto h la politica sulla crittografia e la cifratura, e al punto i la sicurezza del personale, la politica di accesso e la gestione dei beni aziendali — vi rientrano le apparecchiature con cui i dipendenti ottengono accesso, quindi anche telefoni privati e laptop domestici. Nella Legge sulla sicurezza informatica, il recepimento olandese di questa direttiva, ritornano le stesse dieci misure; la legge entra in vigore il 15 agosto 2026. ISO/IEC 27001 Allegato A sviluppa ulteriormente questo in misure di controllo separate per apparecchiature endpoint, telelavoro e controllo dell'accesso, il che spiega perché i clienti talvolta lo pongono come una sola domanda e talvolta come tre domande separate.