hoe vul ik de vraag in over beveiliging bij thuiswerken

Thuiswerken valt onder toegangsbeleid en MFA, niet onder een los blokje

De vraag over thuiswerken is meestal geen zelfstandig thema, maar een uitwerking van twee van de tien maatregelen uit artikel 21 lid 2 NIS2: toegangsbeleid (onderdeel i) en het gebruik van meerfactorauthenticatie of vergelijkbare beveiligde verbindingen (onderdeel j). Vul hem dus niet los in, maar consistent met wat je al hebt geantwoord bij het toegangsbeleid en het beheer van bedrijfsmiddelen en bij de vraag over meerfactorauthenticatie. Klopt het antwoord daar niet met wat je hier zegt, dan is dat het eerste wat een beoordelaar opvalt.

Concreet wil de klant meestal weten: loggen medewerkers in via een VPN of zero-trust-verbinding, is MFA verplicht op die verbinding, staat er een device-policy voor privé- versus zaaklaptops, en is er een basisregel over openbare wifi. Heb je dit niet als apart beleidsdocument maar als paragraaf in een breder ICT-reglement, dan is dat voldoende bewijsstuk — citeer het onderdeel, niet het hele document. Ontbreekt een van de vier punten, antwoord dan niet automatisch "nee": geef aan wat er wél is (bijvoorbeeld MFA wel, device-policy niet) en laat de klant zelf de vervolgvraag beoordelen. Heb je geen van beide, dan is "nee, nog niet geformaliseerd" feitelijk juister dan een half "ja" dat je niet kunt onderbouwen.

Waar dit vandaan komt: artikel 21 lid 2, onderdelen i en j

Artikel 21 lid 2 NIS2 noemt onder i "beleid en procedures met betrekking tot het gebruik van cryptografie" — nee, dat is onderdeel h; onderdeel i betreft personeelsbeveiliging, toegangsbeleid en assetbeheer, en onderdeel j specifiek het gebruik van multifactorauthenticatie- of continue-authenticatieoplossingen, versleutelde communicatie en beveiligde noodcommunicatie binnen de entiteit. ISO/IEC 27001 Annex A werkt dit verder uit onder de controls voor remote working en netwerktoegang. De Cyberbeveiligingswet neemt deze indeling ongewijzigd over zodra zij op 15 augustus 2026 in werking treedt, dus een antwoord dat nu al op deze twee onderdelen aansluit, blijft na die datum bruikbaar.