въпросникът пита за политика за мобилни устройства и лаптопи на служителите

Политиката за мобилни устройства попада в категорията контрол на достъпа и управление на активите

Този въпрос се отнася към член 21, параграф 2, буква i на NIS2: политика за контрол на достъпа, включително управление на активите ("asset management"). Телефони и лаптопи са активи, които осигуряват достъп до данни извън офисната мрежа, и клиентът желае да знае дали има контрол над тях. На практика списъкът с въпроси обикновено очаква отговор на няколко фиксирани точки: има ли регистър на издадени устройства, е ли криптирането на съхранението задължително, има ли минимално изискване за пин код или биометрия, и може ли загубено или откраднато устройство да бъде изтрито отдалечено (MDM — mobile device management). BYOD (bring your own device, собствени устройства на служителите) също се появява често отделно, тъй като носи различен риск в сравнение с корпоративните устройства.

Ако тази политика все още не е написана, но практиката е в ред — криптирането е включено по подразбиране, достъпът минава през акаунт с — многофакторната аутентификация — то "не, все още няма установена политика" е честният отговор, евентуално с пояснение относно действителните мерки. Не казвайте "да" на въпрос относно MDM решение, ако то не съществува; клиент, който след това зададе допълнителни въпроси относно регистъра на устройства или инцидентния процес при загуба, в противен случай ще остане без доказателства. Загубата или кражбата на устройство засяга и — процедурата за инциденти в областта на сигурността— затова двата отговора трябва да съответстват един на друг.

Където е представено: член 21, параграф 2 и Приложение A

Член 21, параграф 2, буква i на Директива (ЕС) 2022/2555 посочва политика за контрол на достъпа и управление на активите като една от десетте задължителни мерки. ISO/IEC 27001 го развива по-нататък в Приложение A, като се отнася до управляващите мерки за "endpoint devices" и мобилни устройства; организациите, които вече са сертифицирани по ISO 27001, обикновено вече имат този раздел документиран. Нидерландския закон за киберсигурност, който трансформира NIS2 и влиза в сила на 15 август 2026 г., следва същата структура с десет мерки.