klant vraagt hoe wij mobiele apparaten van personeel beveiligen

Mobiel apparaatbeheer valt onder toegang en bedrijfsmiddelen

Deze vraag hoort bij artikel 21 lid 2 sub d en sub i van NIS2: beveiliging bij verwerving, ontwikkeling en onderhoud, én toegangsbeheer inclusief bedrijfsmiddelenbeheer. Telefoons en tablets zijn bedrijfsmiddelen ("assets") zodra ze bij bedrijfsdata kunnen komen — mail, klantsystemen, gedeelde schijven. De klant wil weten of die apparaten in een beheerbare status staan: zijn ze geregistreerd, is er een wachtwoord- of pincode-eis, kan een verloren toestel op afstand worden gewist, staat versleuteling aan.

Als er een MDM-oplossing (Mobile Device Management) draait — Intune, Jamf, Google Endpoint Management of vergelijkbaar — dan is dat het bewijsstuk: een schermafdruk van het beleidsprofiel, of een beschrijving van de ingestelde regels (pincode, encryptie, remote wipe, app-restricties). Ontbreekt MDM, dan is het antwoord niet automatisch "nee": veel kleinere ondernemingen regelen dit met een bring-your-device-beleid plus een ondertekende gebruikersverklaring. Beschrijf dan wat er wél is, in plaats van de vraag over te slaan. Dit onderwerp overlapt met het toegangsbeleid inclusief beheer van bedrijfsmiddelen — als daar al een asset-register en toegangsmatrix bestaan, hoort mobiel beheer daar logisch bij en kun je naar dezelfde bron verwijzen.

Zonder MDM en zonder beleid is "nog te bepalen" het eerlijke label, niet "nee": veel klanten accepteren een groeipad, mits je aangeeft wat er nu al staat en wat nog komt. Vermeld ook of meerfactorauthenticatie verplicht is voor toegang vanaf mobiele apparaten — dat is vaak een losse subvraag in dezelfde lijst en wordt door dezelfde controle gedekt.

Waar dit in Annex A en de wet terugkomt

In ISO/IEC 27001 Annex A vallen mobiele apparaten onder de beheersmaatregelen voor bedrijfsmiddelenbeheer en toegangsbeveiliging; wie al ISO-gecertificeerd is, heeft dit bewijs meestal al liggen als onderdeel van het toegangsbeleid. De Cyberbeveiligingswet vervangt vanaf 15 augustus 2026 de huidige NIS2-uitvoeringsregels op nationaal niveau, maar de indeling van deze maatregel — onder artikel 21 lid 2 — verandert daarbij niet.