kund frågar hur vi säkrar personalens mobila enheter

Hantering av mobila enheter faller under åtkomst och affärstillgångar

Denna fråga hör till artikel 21 punkt 2 bokstav d och i i NIS2: säkerhet vid anskaffning, utveckling och underhåll, och åtkomstkontroll inklusive hantering av affärstillgångar. Telefoner och surfplattor är affärstillgångar ("assets") så snart de kan komma åt affärsdata — e-post, kundsystem, delade enheter. Kunden vill veta om dessa enheter är i ett hanterbart tillstånd: är de registrerade, finns det ett lösenords- eller PIN-krav, kan en förlorad enhet raderas på distans, är kryptering aktiverad.

Om en MDM-lösning (Mobile Device Management) körs — Intune, Jamf, Google Endpoint Management eller motsvarande — är det bevisstycket: en skärmdump av principen eller en beskrivning av de inställda reglerna (PIN-kod, kryptering, fjärrborttagning, appbegränsningar). Om MDM saknas är svaret inte automatiskt "nej": många mindre företag hanterar detta med en bring-your-device-policy plus ett undertecknat användaravtal. Beskriv då vad som finns i stället för att hoppa över frågan. Detta ämne överlappar med åtkomstpolicyn inklusive hantering av verksamhetsresurser — om det redan finns ett tillgångsregister och en åtkomstmatris där, hör mobil hantering logiskt dit och du kan hänvisa till samma källa.

Utan MDM och utan policy är "ännu att fastställa" den ärliga etiketten, inte "nej": många kunder accepterar en tillväxtväg, förutsatt att du anger vad som redan finns och vad som kommer. Ange också om flerfaktorsautentisering är obligatorisk för åtkomst från mobila enheter — det är ofta en separat underfråga i samma lista och täcks av samma kontroll.

Där detta återkommer i Annex A och lagen

I ISO/IEC 27001 Annex A faller mobila enheter under kontrollåtgärderna för hantering av affärstillgångar och åtkomstsäkerhet; den som redan är ISO-certifierad har vanligtvis detta bevis liggande som en del av åtkomstpolicyn. Cybersäkerhetslag ersätter från den 15 augusti 2026 de nuvarande NIS2-genomförandereglerna på nationell nivå, men klassificeringen av denna åtgärd — under artikel 21 punkt 2 — ändras inte därvid.