ze willen weten hoe wij thuiswerken beveiligen

Thuiswerkbeveiliging valt onder toegangsbeveiling en MFA

De vraag naar thuiswerkplekken is meestal geen apart thema, maar een uitwerking van twee bredere maatregelen uit artikel 21 lid 2 NIS2: toegangsbeleid (onder e, "beleid en procedures betreffende het gebruik van cryptografie" hoort er soms ook bij als vraag naar VPN-versleuteling) en authenticatie (onder j, meerfactorauthenticatie en beveiligde communicatie). Klanten willen concreet weten of een thuiswerkplek net zo goed beveiligd is als een kantoorplek: is er een VPN of zero-trust-toegang verplicht, staat MFA aan voor alle externe verbindingen, en is er beleid over welke apparaten (bedrijfslaptop versus privételefoon) toegang mogen krijgen.

Heb je dat niet expliciet vastgelegd, dan is het eerlijkste antwoord "nee" met een toelichting: bijvoorbeeld dat toegang tot bedrijfssystemen sowieso via MFA loopt, onafhankelijk van de locatie van de medewerker. Dat is vaak sterker dan een half ingevuld "ja" over een thuiswerkbeleid dat er niet is. Check eerst of meerfactorauthenticatie voor bedrijfssystemen al is vastgelegd — als dat antwoord "ja" is, dekt dat een groot deel van deze vraag al, want de meeste klanten vragen naar thuiswerken juist om te toetsen of toegang plaats-onafhankelijk goed geregeld is. Ontbreekt zowel het VPN-beleid als MFA, dan ligt het antwoord "nee" voor de hand, met eventueel een toelichting over wat er wel is (bijvoorbeeld alleen een wachtwoordbeleid).

Waar dit in Annex A van ISO 27001 concreter wordt

ISO/IEC 27001 Annex A werkt dit verder uit onder de beheersmaatregelen voor "remote working" en toegangsbeheer, en veel vragenlijsten van banken en grote afnemers zijn direct op die Annex A-indeling gebaseerd — vandaar dat de vraag vaak los van de NIS2-tien staat. Of een onderneming hier iets structureels over kan zeggen, hangt ook af van of ze zelf onder de Cyberbeveiligingswet gaat vallen; is dat niet het geval, dan is een pragmatisch antwoord over de bestaande situatie voldoende. Twijfel je of de onderneming daaronder valt, kijk dan bij of de onderneming onder NIS2 of de nationale omzetting valt — dat bepaalt hoe zwaar dit antwoord moet wegen in het totaalbeeld van de lijst.