de vragenlijst vraagt hoe wij thuiswerken en remote toegang beveiligen

Remote toegang valt onder toegangsbeleid én MFA

De vraag over thuiswerken en remote toegang is meestal een combinatie van twee van de tien maatregelen uit artikel 21 lid 2 NIS2: punt (i), toegangsbeleid en beheer van bedrijfsmiddelen, en punt (j), het gebruik van meerfactorauthenticatie. Klanten die dit apart vragen, willen weten hoe een medewerker vanaf een privénetwerk of eigen laptop toegang krijgt tot bedrijfssystemen, en welke barrières daarbij staan. Een VPN-verbinding alleen is geen antwoord op deze vraag — het gaat om de combinatie van versleutelde verbinding, authenticatie en apparaatbeheer.

Concreet bewijs bestaat meestal uit drie onderdelen: een VPN- of zero-trust-configuratie met versleuteling, een MFA-verplichting die ook geldt voor externe toegang (niet alleen voor het bedrijfsnetwerk), en een overzicht van welke apparaten toegang mogen krijgen — privé of zakelijk. Als er een Mobile Device Management-oplossing draait, is dat een sterk bewijsstuk. Ontbreekt dat, dan is het antwoord vaak "nee" op het onderdeel apparaatbeheer, ook als MFA wel staat. Vul dan per onderdeel apart in wat wél en niet is geregeld, in plaats van één samengevat "ja" of "nee" — dat voorkomt een onterecht "nee" op een vraag die eigenlijk voor de helft klopt. Is versleuteling van het verkeer zelf onderwerp van de vraag, dan hoort dat eerder bij het beleid over cryptografie en versleuteling dan bij toegang. Twijfel je aan welk vakje dit precies raakt, check dan ook of de vraag eigenlijk over het toegangsbeleid inclusief beheer van bedrijfsmiddelen gaat — vaak zijn het namelijk twee losse subvragen in één regel verpakt.

Waar dit staat: artikel 21 lid 2, punten i en j

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt toegangsbeleid en beheer van bedrijfsmiddelen als punt (i) en het gebruik van meerfactorauthenticatie of continue authenticatie als punt (j), naast versleuteling als punt (h). ISO/IEC 27001 Annex A werkt dit verder uit in de beheersmaatregelen over toegangsbeveiliging en apparatuur buiten het bedrijfsterrein. De Cyberbeveiligingswet neemt deze indeling over zodra die na 15 augustus 2026 in werking treedt, dus de structuur van de vraag verandert dan niet — wel wie er verplicht op moet antwoorden.