hoe vul ik de vraag in over VPN en beveiligde toegang op afstand

De vraag gaat verder dan alleen VPN

Een VPN is één techniek, maar de vraag zelf gaat over toegangsbeveiliging op afstand als geheel. Dat valt onder punt (i) van de tien maatregelen in artikel 21 lid 2 NIS2: beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen. Een klant die vraagt naar "beveiligde toegang op afstand" wil dus meestal weten of er een VPN of vergelijkbare versleutelde verbinding is, of daarbij meerfactorauthenticatie verplicht is, en of toegang beperkt is tot wat iemand nodig heeft voor zijn functie. Antwoord daarom niet alleen "ja, we gebruiken VPN" — voeg toe of dat verplicht is voor alle externe toegang, en of er een tijdslimiet of automatische uitlog op zit.

Heb je geen VPN maar wel een ander mechanisme — een zero-trust oplossing, een gateway met certificaat-authenticatie, een cloudomgeving zonder lokaal netwerk — dan is "nee" op de letterlijke VPN-vraag niet fout, maar wel onvolledig. Beschrijf in dat geval wat er wél gebruikt wordt, want het portaal van je klant vraagt eigenlijk naar het doel (versleutelde, gecontroleerde toegang), niet naar het specifieke product. Ontbreekt meerfactorauthenticatie op de externe toegang, dan is dat een aparte vraag die vaak los terugkomt in de lijst, zie wordt meerfactorauthenticatie gebruikt voor toegang tot bedrijfssystemen. Heb je niets vastgelegd over wie op afstand mag inloggen en met welke rechten, dan raakt dat ook de bredere vraag over toegangsbeleid, zie is het toegangsbeleid vastgelegd, inclusief het beheer van bedrijfsmiddelen.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 onder i van Richtlijn (EU) 2022/2555 noemt beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen als een van de tien verplichte maatregelen; toegang op afstand valt daaronder. ISO/IEC 27001 Annex A werkt dit verder uit met specifieke beheersmaatregelen voor toegangsbeveiliging en netwerkbeveiliging, waar VPN-gebruik doorgaans onder wordt gedocumenteerd. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking en legt dezelfde tien maatregelen vast voor entiteiten die onder de wet vallen.