vprašalnik sprašuje, ali zaposleni delajo prek VPN, kako to utemeljim

VPN je tehnični ukrep, ne ločena vrsta ukrepa

VPN spada pod varnostni dostop in šifriranje komunikacije, ne pod lastno kategorijo. V členu 21, odstavek 2 Direktive NIS2 ni dobesedne zahteve za VPN; deset ukrepov tam so funkcionalno formulirani, med drugim pod f (politika dostopa) in h (šifriranje). Odjemalec, ki posebej sprašuje za VPN, te funkcionalne zahteve običajno prevede v eno konkretno tehniko — pogosto zato, ker to določa njegova lastna oblika vprašalnika, ne zato, ker to besedo uporablja zakon.

Če zaposleni na daljavo delajo prek VPN-a, je utemeljitev običajno odlomek iz politike dostopa, v katerem je VPN naveden kot pogoj za zunanji dostop, po potrebi dopolnjen s pregledom konfiguracije ali posnetkom zaslona iz konzole za upravljanje. Če tega dokumenta ni, je "ne" s kratko razlago (na primer: dostop na daljavo poteka prek druge nadzorovane metode) boljši od odgovora VPN brez vira — dossier vnaša samo to, kar lahko utemeljit, in v primeru dvoma polje ostane odprto za lastno napolnitev. To je v skladu s politiko dostopa in upravljanjem premoženja podjetja, kjer je VPN običajno ena izmed navedenih kontrol poleg politike za gesla in upravljanja naprav.

Od kje je to: Annex A in član 21 odstavek 2

ISO/IEC 27001 Priloga A navaja varnostnost omrežja in kriptografske ukrepe kot kontrolne ukrepe, vendar tudi tam VPN ni imenovan — je izbira izvajanja pod širšo kontrolo. Tisti, ki je že certificiran po ISO 27001, lahko za to vprašanje običajno sklicuje na Izjavo o ustreznosti namesto da bi iskal ločen dokaz VPN; glej kaj certifikat ISO 27001 zajema in kaj ne. Za podjetja, ki bodo sama padla pod Zakon o kibernetski varnosti, ko ta vstopi v veljavo 15. avgusta 2026, velja ista funkcionalna formulacija iz preusmerjanja NIS2 — zakon določa cilj, ne sredstvo.