kunden frågar hur vi arbetar hemma och skyddar byod vad fyller jag i

Hemarbete och BYOD faller under åtkomstpolicy och kryptering

Denna fråga kommer vanligtvis inte som en separat del, utan som en genomförande av två av de tio åtgärderna i artikel 21 punkt 2 NIS2: åtkomstpolicy (del i) och kryptering (del h). Kunden vill veta hur du förhindrar att en privat telefon eller hemma-laptop blir ett läckage till företagssystem. Fyll i vad du faktiskt har: MDM (mobile device management) på BYOD-enheter, obligatorisk diskkkryptering, ett VPN-krav för fjärråtkomst och separata profiler för arbete och privat. Om du inte har MDM men har en teknisk begränsning — till exempel att företagsdata endast är tillgänglig via en webbportal utan lokal lagring — är det ett giltigt svar, inte en nödlösning.

Om en BYOD-policy helt saknas, det vill säga ingen teknisk eller organisatorisk separation mellan privat och arbete, är "nej" rätt svar. En lista utan BYOD-reglering är förresten inte automatiskt ett problem: enligt Annex A av ISO/IEC 27001 faller detta under kontrollåtgärder för slutpunkter och åtkomst, och många företag minskar risken genom att endast tillåta hemarbete från en företagsenhet — då finns det inget om BYOD att bekräfta, väl om åtkomstpolicy och hantering av företagstillgångar. Kontrollera också om något är fastställt om flerfaktorsautentisering vid åtkomst till företagssystem, för den frågan hör ofta till samma block och besvaras annars dubbelt med motsägelsefulla svar.

Var detta exakt står: artikel 21 punkt 2, delar h och i

Artikel 21 punkt 2 i Direktiv (EU) 2022/2555 nämner under h policy för kryptering och krypterande, och under i säkerhet för personal, åtkomstpolicy och hantering av företagsmaterial — detta inkluderar den utrustning genom vilken anställda får åtkomst, alltså även privattelefoner och hemma-arbetslaptops. I Cybersäkerhetsstadgan, den nederländska omställningen av detta direktiv, återkommer samma tio åtgärder; lagen träder i kraft den 15 augusti 2026. ISO/IEC 27001 Annex A utvecklar detta vidare i separata kontrollåtgärder för slutpunktsutrustning, distansarbete och åtkomsthantering, vilket förklarar varför kunder ibland ställer detta som en fråga och ibland som tre separata frågor.