como preencho a pergunta sobre segurança no trabalho remoto

Trabalho a partir de casa está sob política de acesso e MFA, não sob um bloco separado

A questão sobre trabalho a partir de casa geralmente não é um tema independente, mas uma elaboração de duas das dez medidas do artigo 21.º, n.º 2 da NIS2: política de acesso (alínea i) e o uso de autenticação multifator ou ligações seguras comparáveis (alínea j). Portanto, não o preencha isoladamente, mas consistentemente com o que já respondeu em a política de acesso e a gestão de ativos e em a questão sobre autenticação multifator. Se a resposta aí não corresponder ao que diz aqui, é a primeira coisa que um avaliador detecta.

Concretamente, o cliente geralmente pretende saber: os colaboradores fazem login através de uma VPN ou ligação zero-trust, é a MFA obrigatória nessa ligação, existe uma política de dispositivos para computadores portáteis pessoais versus empresariais, e existe uma regra básica sobre Wi-Fi público. Se não dispuser disto como documento de política separado, mas como parágrafo num regulamento de TI mais amplo, isso é documento probatório suficiente — cite a alínea, não o documento inteiro. Se falta um dos quatro pontos, não responda automaticamente "não": indique o que existe (por exemplo, MFA sim, política de dispositivos não) e deixe o cliente avaliar a questão subsequente por si próprio. Se não tiver nenhum dos dois, então "não, ainda não formalizado" é de facto mais correcto do que um "sim" parcial que não consegue fundamentar.

De onde vem isto: artigo 21.º, n.º 2, alíneas i e j

O artigo 21.º, n.º 2 da NIS2 menciona na alínea i "políticas e procedimentos relativos à utilização da criptografia" — não, é a alínea h; a alínea i diz respeito à segurança do pessoal, política de acesso e gestão de activos, e a alínea j especificamente à utilização de soluções de autenticação multifator ou autenticação contínua, comunicação encriptada e comunicação de emergência segura dentro da entidade. ISO/IEC 27001 Anexo A desenvolve isto ainda mais nos controlos para trabalho remoto e acesso à rede. A Lei da Cibersegurança adopta esta classificação sem alterações assim que entrar em vigor em 15 de Agosto de 2026, pelo que uma resposta que já agora se alinhe com estas duas alíneas permanecerá válida após essa data.