klant vraagt hoe wij thuiswerken en byod beveiligen wat vul ik in

Thuiswerken en BYOD vallen onder toegangsbeleid en cryptografie

Deze vraag komt meestal niet als los onderdeel, maar als uitwerking van twee van de tien maatregelen uit artikel 21 lid 2 NIS2: toegangsbeleid (onderdeel i) en cryptografie (onderdeel h). De klant wil weten hoe je voorkomt dat een privételefoon of thuis-laptop een lek wordt naar bedrijfssystemen. Vul in wat je feitelijk hebt: MDM (mobile device management) op BYOD-apparaten, verplichte schijfversleuteling, een VPN-verplichting voor toegang op afstand, en gescheiden profielen voor werk en privé. Heb je geen MDM maar wel een technische restrictie — bijvoorbeeld dat bedrijfsdata alleen via een browserportaal toegankelijk is zonder lokale opslag — dan is dat een geldig antwoord, geen noodoplossing.

Ontbreekt een BYOD-beleid helemaal, dus geen enkele technische of organisatorische scheiding tussen privé en werk, dan is "nee" het juiste antwoord. Een lijst zonder BYOD-regeling is overigens niet automatisch een probleem: bij Annex A van ISO/IEC 27001 valt dit onder de beheersmaatregelen voor endpoints en toegang, en veel bedrijven vangen het risico af door thuiswerken alleen via een zakelijk apparaat toe te staan — dan is er niets over BYOD te bevestigen, wel over het toegangsbeleid en het beheer van bedrijfsmiddelen. Check ook of er iets is vastgelegd over meerfactorauthenticatie bij toegang tot bedrijfssystemen, want die vraag hoort vaak in hetzelfde blokje en wordt anders dubbel beantwoord met tegenstrijdige antwoorden.

Waar dit precies staat: artikel 21 lid 2, onderdelen h en i

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt onder h het beleid over cryptografie en versleuteling, en onder i beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen — daaronder valt de apparatuur waarmee medewerkers toegang krijgen, dus ook privételefoons en thuiswerklaptops. In de Cyberbeveiligingswet, de Nederlandse omzetting van deze richtlijn, komen dezelfde tien maatregelen terug; de wet treedt in werking op 15 augustus 2026. ISO/IEC 27001 Annex A werkt dit verder uit in aparte beheersmaatregelen voor endpointapparatuur, teleworking en toegangsbeheer, wat verklaart waarom klanten dit soms als één vraag stellen en soms als drie losse vragen.