klant vraagt hoe wij thuiswerken beveiligen, wat vul ik daar in

Thuiswerken valt onder toegangsbeleid, niet onder een eigen maatregel

Er staat geen apart punt "thuiswerken" in artikel 21 lid 2 NIS2 of in Annex A van ISO 27001. De vraag wordt in de praktijk gedekt door een combinatie: toegangsbeleid en beheer van bedrijfsmiddelen, meerfactorauthenticatie, en eventueel cryptografie voor gegevens die het bedrijfsnetwerk verlaten. Als je klant "hoe beveiligen jullie thuiswerken" vraagt, is dat meestal een verkorte versie van: hoe regel je toegang tot bedrijfssystemen vanaf een locatie buiten het kantoor, en op welk apparaat.

Concreet zoekt de beoordelaar naar drie dingen. Eén: is toegang tot systemen en data vanaf thuis gebonden aan een beheerd account, met het toegangsbeleid en het beheer van bedrijfsmiddelen als vastgelegd stuk. Twee: is er meerfactorauthenticatie verplicht voor die toegang — zonder MFA is "ja, beveiligd" meestal geen houdbaar antwoord, zie meerfactorauthenticatie voor bedrijfssystemen. Drie: is er versleuteling op het apparaat of de verbinding (VPN, schijfversleuteling) als er gevoelige data lokaal wordt opgeslagen. Heb je geen MFA of geen VPN-verplichting, antwoord dan met "nee" of "deels" — een voorgesteld "ja" zonder onderliggend beleid is geen bewijsstuk, het is een gok, en die gok komt in de audit terug.

Bewijsstuk is het beleidsdocument, niet een schermafbeelding

Het bewijs dat meestal wordt gevraagd is het toegangsbeleid zelf (met de passage over extern werken of remote access) plus een export uit de identity-provider die MFA-afdwinging toont. Een screenshot van één laptop is geen bewijs voor het proces. Onder de Cyberbeveiligingswet — de Nederlandse omzetting die op 15 augustus 2026 in werking treedt — komt dezelfde eis terug via de tien maatregelen van artikel 21 lid 2 NIS2; wie nu al toegangsbeleid en MFA op orde heeft, heeft daarmee ook een voorsprong op die verplichting. Overigens is dit gescheiden van de vraag of je eigen onderneming zelf onder de richtlijn valt als entiteit onder NIS2 of de nationale omzetting — dat bepaalt of je moet, niet wat je hier invult.