vragenlijst vraagt naar beleid voor mobiele apparaten en laptops van medewerkers

Mobiel apparatenbeleid valt onder toegangsbeveiling en bedrijfsmiddelen

Deze vraag hoort bij artikel 21 lid 2 onder i van NIS2: beleid voor toegangsbeveiling, inclusief beheer van bedrijfsmiddelen ("asset management"). Telefoons en laptops zijn bedrijfsmiddelen die data ontsluiten buiten het kantoornetwerk, en de klant wil weten of daar grip op is. In de praktijk verwacht de vragenlijst antwoord op een paar vaste punten: is er een register van uitgegeven apparaten, is versleuteling van de opslag verplicht, is er een minimale pincode of biometrie-eis, en kan een verloren of gestolen toestel op afstand worden gewist (MDM — mobile device management). Ook BYOD (bring your own device, eigen apparaten van medewerkers) komt vaak apart terug, omdat dat een ander risico geeft dan bedrijfstoestellen.

Als dit beleid nog niet op papier staat maar de praktijk wel op orde is — versleuteling staat standaard aan, toegang loopt via een account met meerfactorauthenticatie — dan is "nee, nog geen vastgelegd beleid" het eerlijke antwoord, met eventueel een toelichting over de feitelijke maatregelen. Zeg niet "ja" op een vraag naar een MDM-oplossing als die er niet is; een klant die daarna doorvraagt naar het toestelregister of het incidentproces bij verlies, komt anders zonder onderbouwing te staan. Verlies of diefstal van een apparaat raakt overigens ook de procedure voor beveiligingsincidenten, dus die twee antwoorden moeten met elkaar overeenkomen.

Waar dit staat: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 onder i van Richtlijn (EU) 2022/2555 noemt beleid inzake toegangsbeveiling en het beheer van bedrijfsmiddelen als een van de tien verplichte maatregelen. ISO/IEC 27001 werkt dit verder uit in Annex A, onder de beheersmaatregelen voor "endpoint devices" en mobiele apparatuur; wie al ISO 27001-gecertificeerd is, heeft dit onderdeel meestal al gedocumenteerd liggen. De Nederlandse Cyberbeveiligingswet, die NIS2 omzet en op 15 augustus 2026 in werking treedt, volgt dezelfde indeling in tien maatregelen.