lista kontrolna pyta, czy pracownicy pracują przez VPN, jak to uzasadnić

VPN jest środkiem technicznym, a nie odrębnym typem środka

VPN podlega kontroli dostępu i szyfrowaniu komunikacji, nie stanowi odrębnej kategorii. W artykule 21 ust. 2 dyrektywy NIS2 brak dosłownego wymogu VPN; dziesięć środków zawartych w tym artykule sformułowano funkcjonalnie, między innymi w lit. f (polityka dostępu) i lit. h (szyfrowanie). Klient pytający konkretnie o VPN zwykle tłumaczy ten wymóg funkcjonalny na jedną konkretną technikę — często dlatego, że jego własny format listy kontrolnej tego wymaga, a nie dlatego, że prawo używa tego słowa.

Jeśli pracownicy pracują zdalnie za pośrednictwem VPN, uzasadnienie zwykle pochodzi z fragmentu polityki dostępu, w którym VPN jest wymagane do dostępu zdalnego, ewentualnie uzupełnione przeglądem konfiguracji lub zrzutem ekranu z konsoli zarządzania. Jeśli brakuje tego dokumentu, odpowiedź „nie polityką dostępu i zarządzaniem zasobami firmy,

Skąd to pochodzi: Załącznik A i artykuł 21 ust. 2

ISO/IEC 27001 Annex A wymienia bezpieczeństwo sieci i środki kryptograficzne jako środki kontroli, ale tam również VPN nie jest wymieniona z nazwy — jest to wybór implementacyjny w ramach szerszej kontroli. Przedsiębiorstwa, które już posiadają certyfikat ISO 27001, mogą w przypadku tego pytania zazwyczaj odwoływać się do Deklaracji Mającej Zastosowanie zamiast szukać osobnego potwierdzenia VPN; zobacz co certyfikat ISO 27001 obejmuje, a czego nie obejmuje. W przypadku przedsiębiorstw, które będą podlegać Ustawie o Cyberbezpieczeństwie od momentu jej wejścia w życie 15 sierpnia 2026 r., obowiązuje ta sama funkcjonalna formulacja z transpozycji dyrektywy NIS2 — ustawa określa cel, nie środek.