Dotazník sa pýta na politiku pre mobilné zariadenia a notebooky zamestnancov

Politika mobilných zariadení spadá pod kontrolu prístupu a podnikové prostriedky

Táto otázka patrí pod článok 21 odsek 2 písm. i smernice NIS2: politika pre kontrolu prístupu vrátane správy podnikových prostriedkov ("asset management"). Telefóny a notebooky sú podnikové prostriedky, ktoré sprístupňujú údaje mimo firemnej siete, a zákazník chce vedieť, či má nad tým kontrolu. V praxi očakáva zoznam otázok odpoveď na niekoľko pevných bodov: existuje register vydaných zariadení, je požadované šifrovanie úložiska, existuje požiadavka na minimálny PIN alebo biometriu, a je možné vzdialene vymazať stratu alebo ukradnuté zariadenie (MDM — správa mobilných zariadení). BYOD (bring your own device, vlastné zariadenia zamestnancov) sa často objavuje aj oddelene, pretože to predstavuje iné riziko než podnikové zariadenia.

Ak táto politika ešte nie je zapísaná, ale prax je v poriadku — šifrovanie je štandardne zapnuté, prístup prebieha prostredníctvom účtu s viacfaktorové overovanie — potom je "nie, zatiaľ nie je zavedená formálna politika" čestná odpoveď, prípadne s vysvetlením faktických opatrení. Nehovorte "áno" na otázku o riešení MDM, ak tam nie je; zákazník, ktorý sa potom ďalej pýta na register zariadení alebo proces pri incidente kvôli strate, tak skončí bez podloženia. Strata alebo krádež zariadenia inak zasiahne tiež postupu spracúvania incidentov bezpečnosti, takže obe odpovede musia byť v súlade.

Kde sa to nachádza: článok 21 odsek 2 a Príloha A

Článok 21 odsek 2 písm. i Smernice (EÚ) 2022/2555 uvádza politiku týkajúcu sa kontroly prístupu a správy podnikových prostriedkov ako jedno z desiatich povinných opatrení. ISO/IEC 27001 to ďalej rozpracováva v Prílohe A pod opatreniami na kontrolu "endpoint devices" a mobilných zariadení; kto je už certifikovaný podľa ISO 27001, má túto časť zvyčajne už zdokumentovanú. Holandský zákon o kybernetickej bezpečnosti, ktorý transpozuje NIS2 a vstúpi do platnosti 15. augusta 2026, nasleduje rovnaké rozdelenie desiatich opatrení.