enkäten frågar hur vi säkrar hemarbete och fjärråtkomst

Fjärråtkomst faller under åtkomstpolicy och MFA

Frågan om hemarbete och fjärråtkomst är vanligtvis en kombination av två av de tio åtgärder som anges i artikel 21 stycke 2 i NIS2: punkt (i), åtkomstpolicy och hantering av företagstillgångar, och punkt (j), användning av multifaktorautentisering. Kunder som frågar om detta separat vill veta hur en anställd får åtkomst till företagssystem från ett privat nätverk eller egen bärbar dator, och vilka hinder som finns. En VPN-anslutning ensamt är inte ett svar på denna fråga — det handlar om kombinationen av krypterad anslutning, autentisering och enhetshantering.

Konkreta bevis består vanligtvis av tre delar: en VPN- eller zero-trust-konfiguration med kryptering, ett MFA-krav som även gäller för fjärråtkomst (inte bara för företagsnätverket), och en översikt över vilka enheter som får åtkomst — privata eller kommersiella. Om en Mobile Device Management-lösning körs är det ett starkt bevis. Om det saknas är svaret ofta "nej" på delen om enhetshantering, även om MFA finns. Fyll då i per del separat vad som är och inte är ordnat, i stället för ett sammanfattat "ja" eller "nej" — det förhindrar ett felaktigt "nej" på en fråga som egentligen är delvis korrekt. Om kryptering av själva trafiken är föremål för frågan hör det snarare till policyn om kryptering och krypteringsalgoritmer än till åtkomst. Är du osäker på exakt vilken ruta detta rör sig om, kontrollera även om frågan faktiskt handlar om åtkomstpolicyn inklusive hantering av verksamhetsresurser — ofta är det nämligen två separata delfrågor paketerade i en rad.

Var detta finns: artikel 21 stycke 2, punkterna i och j

Artikel 21 stycke 2 i Europaparlamentets och Rådets direktiv (EU) 2022/2555 nämner åtkomstpolicy och hantering av företagstillgångar som punkt (i) och användning av multifaktorautentisering eller kontinuerlig autentisering som punkt (j), tillsammans med kryptering som punkt (h). ISO/IEC 27001 Annex A utvecklar detta vidare i kontrollmåtten om åtkomstskydd och utrustning utanför företagets lokaler. Cybersäkerhetslagen tar över denna indelning när den träder i kraft den 15 augusti 2026, så frågans struktur förändras inte då — men vem som är skyldig att svara gör det.