dotazník se ptá, zda zaměstnanci pracují přes VPN, jak to odůvodním

VPN je technické opatření, nikoli samostatný typ opatření

VPN spadá pod kontrolu přístupu a šifrování komunikace, nikoli pod vlastní kategorii. V článku 21 odst. 2 směrnice NIS2 se nenachází doslova požadavek na VPN; desátero opatření uvedené tam je formulováno funkčně, mimo jiné pod písmenem f) (politika přístupu) a h) (šifrování). Zákazník, který konkrétně žádá o VPN, obvykle převádí tento funkční požadavek na jednu konkrétní techniku — často proto, že jeho vlastní seznam otázek je takto strukturován, nikoli proto, že by zákon používal toto slovo.

Pokud zaměstnanci pracují na dálku přes VPN, zdůvodnění obvykle vychází z dokumentu politiky přístupu, v níž je VPN stanovena jako požadavek pro přístup z dálky, případně doplněna přehledem konfigurace nebo snímkem obrazovky z konzoly správy. Pokud chybí tento dokument, je lepší odpověď "ne" s krátkou poznámkou (například: přístup z dálky probíhá jinou kontrolovanou metodou) než VPN-odpověď bez zdroje — dossier vyplňuje pouze to, co může zdůvodnit, a v případě pochybností zůstává pole otevřené pro vlastní vyplnění. To odpovídá politikou přístupu a správou firemních aktiv,", kde je VPN typicky jednou z uvedených kontrol vedle politiky hesel a správy zařízení.

Odkud to pochází: Příloha A a článek 21 odst. 2

ISO/IEC 27001 Příloha A uvádí bezpečnost sítě a kryptografická opatření jako kontroly, ale ani tam se VPN výslovně nejmenuje — jde o implementační volbu v rámci širší kontroly. Kdo je již certifikován podle ISO 27001, může na tuto otázku obvykle odkazovat na Statement of Applicability místo aby hledal samostatné důkazy o VPN; viz co kryt a co nekryje certifikát ISO 27001". Pro podniky, které budou podléhat zákonu o kybernetické bezpečnosti, jakmile vstoupí v platnost 15. srpna 2026, platí stejná funkční formulace z transpozice NIS2 — zákon stanoví cíl, ne prostředek.