hur fyller jag i frågan om VPN och säker fjärråtkomst

Frågan går längre än bara VPN

Ett VPN är en teknik, men frågan själv handlar om fjärråtkomstbeveiliging som helhet. Det faller under punkt (i) i de tio åtgärderna i artikel 21 punkt 2 NIS2: skydd för personal, åtkomstpolicy och hantering av företagstillgångar. En kund som frågar om "säkrad fjärråtkomst" vill vanligtvis veta om det finns ett VPN eller liknande krypterad anslutning, om flerfaktorsautentisering är obligatorisk, och om åtkomsten är begränsad till vad någon behöver för sin funktion. Svara därför inte bara "ja, vi använder VPN" — lägg till om det är obligatoriskt för all extern åtkomst, och om det finns en tidsgräns eller automatisk utloggning.

Om du inte har VPN utan en annan mekanism — en zero-trust-lösning, en gateway med certifikatautentisering, en molnmiljö utan lokalt nätverk — då är "nej" på den bokstavliga VPN-frågan inte fel, men väl ofullständig. Beskriv i så fall vad som faktiskt används, för portalen för din kund frågar egentligen efter syftet (krypterad, kontrollerad åtkomst), inte efter den specifika produkten. Om flerfaktorsautentisering saknas på fjärråtkomsten, är det en separat fråga som ofta återkommer separat i listan, se används flerfaktorsautentisering för åtkomst till företagssystem. Om du inte har dokumenterat vem som får logga in på distans och med vilka rättigheter, påverkar det också den bredare frågan om åtkomstpolicy, se är åtkomstpolicyn fastställd, inklusive hanteringen av företagstillgångar.

Var det finns i riktlinjen och normen

Artikel 21 punkt 2 bokstav i i direktiv (EU) 2022/2555 nämner skydd för personal, åtkomstpolicy och hantering av företagstillgångar som en av de tio obligatoriska åtgärderna; fjärråtkomst faller under detta. ISO/IEC 27001 Annex A utvecklar detta vidare med specifika kontrollåtgärder för åtkomstbeveiliging och nätverksbeveiliging, där VPN-användning vanligtvis dokumenteras. Cybersäkerhetslag, den nederländska omvandlingen av NIS2, träder i kraft den 15 augusti 2026 och fastställer samma tio åtgärder för enheter som omfattas av lagen.