lista de perguntas questiona se os funcionários trabalham via VPN, como demonstro isso

VPN é uma medida técnica, não um tipo de medida separado

A VPN enquadra-se na segurança de acesso e encriptação de comunicações, não numa categoria própria. No artigo 21.º, n.º 2 da Diretiva NIS2 não existe um requisito literal de VPN; as dez medidas aí mencionadas são formuladas funcionalmente, nomeadamente sob f (política de acesso) e h (encriptação). Um cliente que especificamente questiona sobre VPN traduz normalmente este requisito funcional para uma técnica concreta — frequentemente porque o seu próprio formato de questionário assim o dita, não porque a lei utiliza essa palavra.

Quando colaboradores trabalham remotamente via VPN, a fundamentação é normalmente um trecho da política de acesso onde a VPN é estabelecida como requisito para acesso externo, complementado opcionalmente por um resumo de configuração ou uma captura de ecrã da consola de administração. Se esse documento faltar, então "não" com uma breve justificação (por exemplo: o acesso remoto funciona através de outro método controlado) é melhor do que uma resposta sobre VPN sem fonte — o dossiê contém apenas o que pode fundamentar, e em caso de dúvida o campo permanece aberto para preenchimento próprio. Isto está em conformidade com a política de acesso e gestão de ativos da organizaçãoonde a VPN é tipicamente um dos controlos mencionados juntamente com política de palavras-passe e gestão de dispositivos.

Origem: Annex A e artigo 21.º, n.º 2

A ISO/IEC 27001 Anexo A menciona segurança de rede e medidas criptográficas como medidas de controlo, mas também aí a VPN não é mencionada pelo nome — é uma escolha de implementação sob um controlo mais amplo. Quem já está certificado ISO 27001 pode normalmente referir-se à Declaração de Aplicabilidade para esta questão em vez de procurar uma prova de VPN isolada; ver o que um certificado ISO 27001 cobre e o que não cobre. Para empresas que se tornarão sujeitas à Lei de Cibersegurança quando esta entrar em vigor em 15 de agosto de 2026, aplica-se a mesma formulação funcional da transposição da NIS2 — a lei estabelece o objetivo, não o meio.