Списъкът с въпроси пита дали служителите работят чрез VPN, как го обосновам

VPN е техническа мярка, не отделен тип мярка

VPN попада под контрол на достъпа и криптиране на комуникацията, не под отделна категория. В член 21, параграф 2 на Директива NIS2 няма буквално изискване за VPN; десетте мерки там са формулирани функционално, включително под буква f (политика за достъп) и буква h (криптиране). Клиент, който конкретно поиска VPN, обикновено преформулира това функционално изискване към една конкретна техника — често защото собственият му формат на въпросник го диктува, не защото законът използва този термин.

Ако служителите работят отдалечено чрез VPN, обосновката обикновено е част от политиката за достъп, в която VPN е посочен като изискване за външни достъп, евентуално допълнена с преглед на конфигурацията или снимка на екрана от конзолата за управление. Ако този документ липсва, то "не" с кратко обяснение (например: достъпът отдалечено функционира чрез друг контролиран метод) е по-добре от VPN-отговор без източник — дневникът попълва само това, което може да обоснове, и при съмнение полето остава открито за собствено попълване. Това съответства на политиката за достъп и управление на корпоративни активи.

Откъде идва това: Приложение A и член 21, параграф 2

ISO/IEC 27001 Annex A назовава мрежовата сигурност и криптографските мерки като мерки за контрол, но VPN също там не е посочен с име — това е избор на имплементация в рамките на по-широкия контрол. Компаниите, които вече са сертифицирани по ISO 27001, могат за този въпрос обикновено да се позовават на Декларацията за приложимост вместо да търсят отделно доказателство за VPN; виж какво покрива и какво не покрива един сертификат ISO 27001. За предприятия, които сами попадат под Законода за кибербезопасност, щом влезе в сила на 15 август 2026 г., се прилага същата функционална формулировка от транспозицията на NIS2 — законът предписва целта, а не средството.