frågelistan frågar om hemarbetsplatser är säkrade vad svarar jag

Hemarbetsplatser omfattas av åtkomstpolicy, inte av ett separat tema

Det behövs inget separat svar för "hemarbete": frågan handlar i praktiken om åtkomstkontroll, autentisering och säkerhet för slutpunktsenheter. Om det är ordnat är hemarbete täckt. Besvara därför frågan med hänvisning till samma åtgärder som du redan använder för kontorsarbetsplatser: vem får åtkomst till vilka system, med vilken enhet och via vilken anslutning.

Konkret söker kunden efter tre saker: ett VPN eller annan krypterad anslutning till företagssystem, multifaktorautentisering för extern åtkomst, och hantering av de bärbara datorer och telefoner som anställda använder hemma (uppdateringsnivå, diskkryptering, lösenordspolicy). Om du har dokumenterat det kan "ja" underbyggas. Om något av de tre saknas — till exempel är MFA endast obligatorisk på kontoret, inte vid hemarbete — är svaret "delvis" med en förklaring av vilken del som är på plats. Kontrollera detta mot åtkomstpolicy och hantering av företagstillgångar och mot status för multifaktorautentisering: det är de två dossierhandlingar som detta svar vilar på. Om du inte har ett VPN men en annan form av krypterad åtkomst, benämn det specifikt — "säkrat" utan underbyggnad ger inget användbart svar.

Kan spåras till artikel 21 punkt 2, inte till en egen hemarbetesnorm

NIS2 har ingen separat artikel om hemarbete. De tio åtgärderna i artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner åtkomstpolicy och hantering av företagstillgångar (del i) och användning av multifaktorautentisering eller kontinuerlig autentisering (del j) som separata kategorier — hemarbete är en tillämpning av dessa, inte en egen kategori. I en ISO 27001-implementering ingår detta under Annex A-åtgärder för åtkomstsäkerhet och utrustning utanför företagsområdet. Om kunden frågar om "säkra hemarbetsplatser" är svaret faktiskt en utsnitt av din bredare åtkomstpolicy, och det är också där du söker bevishandlingen för det.