ze vragen hoe ons wifi-netwerk op kantoor beveiligd is

Wifi-beveiliging valt onder toegangsbeleid, niet onder een eigen vraag

De vraag naar wifi-beveiliging is meestal een concretisering van een bredere vraag: hoe regelt de onderneming toegang tot haar systemen en bedrijfsmiddelen. Een los antwoord over "WPA3" of "een gescheiden gastnetwerk" is prima, maar hoort in het dossier eigenlijk als onderdeel van het toegangsbeleid, inclusief het beheer van bedrijfsmiddelen. Netwerkapparatuur — routers, access points, switches — is een bedrijfsmiddel, en de manier waarop dat beheerd wordt (wachtwoordbeleid, firmware-updates, segmentatie van gasten en medewerkers) is precies wat die vraag toetst.

Concreet antwoord je meestal met drie elementen: het gebruikte encryptieprotocol (WPA2-Enterprise of WPA3), of gasten en medewerkers op gescheiden netwerken zitten, en wie verantwoordelijk is voor het beheer van de access points. Heb je geen formeel vastgelegd wifi-beleid maar wel een werkende praktijk — een IT-leverancier die dit beheert, bijvoorbeeld — dan antwoord je op basis van die praktijk en verwijs je er in het dossier naar. Ontbreekt zowel het beleid als een aanwijsbare praktijk, dan is "nee" of "gedeeltelijk" het eerlijke antwoord; een lijst waarin cyfergegevens ontbreken levert geen goedkeuring op, ook niet stilzwijgend.

Terug te voeren op Annex A en artikel 21 lid 2 NIS2

Bij ISO/IEC 27001 valt netwerkbeveiliging onder de beheersmaatregelen van Annex A, specifiek onder de categorie die toegangsbeveiliging en netwerksegmentatie regelt; een auditor die naar bewijs vraagt, vraagt in de praktijk vaak naar het wifi-beleid als illustratie van die bredere maatregel. Bij de NIS2-richtlijn, artikel 21 lid 2, vallen toegangscontrole en netwerkbeveiliging onder de tien maatregelen die daar genoemd worden, zonder dat wifi als apart punt benoemd wordt. Val je zelf onder de richtlijn of de Nederlandse Cyberbeveiligingswet — dat volgt uit of de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan valt — dan is netwerkbeveiliging een van de onderwerpen waarover je moet kunnen rapporteren, ook zonder dat de wet het woord "wifi" gebruikt.