de vragenlijst vraagt naar ons beleid voor mobiele apparaten en laptops

Beleid voor mobiele apparaten valt onder assetmanagement en toegang

Deze vraag hoort bij artikel 21 lid 2 onder d en i van de NIS2-richtlijn: beveiliging bij verwerving, ontwikkeling en onderhoud, en beleid voor toegangsbeheer inclusief bedrijfsmiddelen. Laptops en telefoons zijn "assets" — bedrijfsmiddelen waarop bedrijfsdata staat of waarmee toegang tot systemen bestaat. De klant wil dus weten of er een geschreven beleid is dat regelt: wie mag welk apparaat gebruiken, hoe het versleuteld is, wat er gebeurt bij verlies of diefstal, en of privégebruik van zakelijke apparaten (of omgekeerd, BYOD) is toegestaan en onder welke voorwaarden.

Als er geen apart document "mobile device policy" bestaat, is dat niet meteen een probleem — kijk of de kern ervan al ergens staat: in het toegangsbeleid inclusief bedrijfsmiddelen, in een ISO 27001-verklaring bij Annex A (asset management en mobile device policy zitten daar als beheersmaatregelen in), of in een IT-handboek. Ontbreekt het volledig, dan is "nee" het eerlijke antwoord — een schriftelijk beleid is iets anders dan losse praktijk zonder vastlegging. Versleuteling van de apparaten zelf hoort hier ook bij; dat overlapt met de vraag over cryptografie en versleuteling, en het is handig om te weten welk antwoord daar al is gegeven, zodat de twee niet tegenstrijdig zijn.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder i "personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen" als een van de tien verplichte maatregelen; mobiele apparaten vallen onder dat laatste. ISO/IEC 27001 werkt dit verder uit in Annex A, met specifieke beheersmaatregelen voor "mobile devices" en "asset management" — een organisatie met een ISO 27001-certificaat heeft dit onderdeel meestal al gedocumenteerd. De Cyberbeveiligingswet zet deze verplichting om in Nederlands recht en treedt op 15 augustus 2026 in werking; tot die datum is de richtlijn zelf het aanknopingspunt, niet de nationale wet.