zoznam otázok sa pýta, či zamestnanci pracujú cez VPN, ako to zdôvodním

VPN je technické opatrenie, nie oddelený typ opatrenia

VPN spadá pod ochranu prístupu a šifrovanie komunikácie, nie pod vlastnú kategóriu. V článku 21 ods. 2 smernice NIS2 nie je doslova požiadavka na VPN; desať opatrení tam sú formulované funkčne, okrem iného pod písmenom f (politika prístupu) a h (šifrovanie). Zákazník, ktorý konkrétne požaduje VPN, zvyčajne prekladá túto funkčnú požiadavku na jednu konkrétnu techniku — často preto, že taký formát má jeho vlastný zoznam otázok, nie preto, že zákon používa toto slovo.

Ak zamestnanci pracujú na diaľku cez VPN, zdôvodnenie je väčšinou úryvok z politiky prístupu, v ktorom je VPN uvedená ako požiadavka na vzdialený prístup, prípadne doplnená prehľadom konfigurácie alebo snímkou z konzoly správy. Ak chýba tento dokument, odpoveď "nie" s krátkym vysvetlením (napríklad: vzdialený prístup funguje prostredníctvom inej kontrolovanej metódy) je lepšia ako odpoveď o VPN bez zdroja — dossier vyplňa iba to, čo môže zdôvodniť, a v prípade pochybností zostáva pole otvorené na vlastné vyplnenie. To sa zhoduje s politikou prístupu a riadením podnikateľských prostriedkov, kde je VPN typicky jednou z uvedených kontrol popri politike hesiel a správe zariadení.

Odkiaľ to pochádza: Príloha A a článok 21 odsek 2

ISO/IEC 27001 Príloha A spomína bezpečnosť siete a kryptografické opatrenia ako kontrolné opatrenia, ale ani tam sa VPN nespomína menom — ide o implementačnú voľbu v rámci širšej kontroly. Kto je už certifikovaný ISO 27001, môže na túto otázku zvyčajne odkazovať na Vyhlásenie o použiteľnosti namiesto hľadania samostatného dôkazu VPN; pozri čo certifikát ISO 27001 pokrýva a čo nie. Pre spoločnosti, ktoré budú podliehať Zákonu o kybernetickej bezpečnosti hneď ako nadobudne účinnosť 15. augusta 2026, platí rovnaké funkčné formulovanie z transpozície NIS2 — zákon predpisuje cieľ, nie prostriedok.