vragenlijst vraagt of thuiswerkplekken beveiligd zijn wat antwoord ik

Thuiswerkplekken vallen onder toegangsbeleid, niet onder een los thema

Er is geen apart antwoord voor "thuiswerken" nodig: de vraag gaat in de praktijk over toegangsbeheer, authenticatie en de beveiliging van eindapparatuur. Als dat op orde is, is thuiswerken meegedekt. Beantwoord de vraag dus met verwijzing naar dezelfde maatregelen die je al gebruikt voor kantoorwerkplekken: wie krijgt toegang tot welke systemen, met welk apparaat en via welke verbinding.

Concreet zoekt de klant naar drie dingen: een VPN of andere versleutelde verbinding naar bedrijfssystemen, meerfactorauthenticatie voor externe toegang, en beheer van de laptops en telefoons die medewerkers thuis gebruiken (patchniveau, schijfversleuteling, wachtwoordbeleid). Heb je dat vastgelegd, dan is "ja" te onderbouwen. Ontbreekt een van de drie — bijvoorbeeld MFA is alleen op kantoor verplicht, niet bij thuiswerken — dan is het antwoord "deels" met een toelichting welk deel wel staat. Check dit tegen het toegangsbeleid en het beheer van bedrijfsmiddelen en tegen de status van meerfactorauthenticatie: dat zijn de twee dossierstukken waar dit antwoord op leunt. Heb je geen VPN maar wel een andere vorm van versleutelde toegang, benoem dat specifiek — "beveiligd" zonder onderbouwing levert geen bruikbaar antwoord op.

Terug te voeren op artikel 21 lid 2, niet op een eigen thuiswerknorm

NIS2 kent geen apart artikel over thuiswerken. De tien maatregelen van artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemen toegangsbeleid en het beheer van bedrijfsmiddelen (onderdeel i) en het gebruik van meerfactorauthenticatie of continue authenticatie (onderdeel j) als afzonderlijke categorieën — thuiswerken is een toepassing daarvan, geen eigen categorie. Bij een ISO 27001-implementatie zit dit onder de Annex A-maatregelen voor toegangsbeveiliging en apparatuur buiten het bedrijfsterrein. Vraagt de klant dus naar "beveiligde thuiswerkplekken", dan is het antwoord in feite een uitsnede van je bredere toegangsbeleid, en dat is ook waar je het bewijsstuk voor zoekt.