spørgeskemaet spørger til vores politik for mobile enheder og bærbare computere

Politik for mobile enheder falder ind under aktivadministration og adgang

Dette spørgsmål vedrører artikel 21, stk. 2, litra d og i i NIS2-direktivet: sikkerhed ved anskaffelse, udvikling og vedligeholdelse samt adgangskontrolpolitik inklusive driftsmidler. Bærbare computere og telefoner er "assets" — driftsmidler, der indeholder forretningsdata eller giver adgang til systemer. Kunden ønsker således at vide, om der findes en skriftlig politik, der regulerer: hvem der må bruge hvilket apparat, hvordan det er krypteret, hvad der sker ved tab eller tyveri, og om privat brug af forretningsudstyr (eller omvendt, BYOD) er tilladt og på hvilke betingelser.

Hvis der ikke findes et separat dokument "mobile device policy", er det ikke nødvendigvis et problem — kontrollér, om kerneindholdet allerede findes andre steder: i adgangskontrolpolitik inklusive driftsmidler, i en ISO 27001-erklæring under Annex A (aktivadministration og mobile device policy indgår her som kontrolforanstaltninger), eller i en IT-manual. Hvis det mangler helt, er "nej" det ærlige svar — en skriftlig politik er noget andet end løs praksis uden dokumentation. Kryptering af selve enhederne hører også herunder; det overlapper med spørgsmålet om kryptering og kryptering, og det er praktisk at vide, hvilket svar der allerede er givet der, så de to ikke modsiger hinanden.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2, i NIS2-direktivet nævner under litra i "personalesikkerhed, adgangskontrol og ledelse af driftsmidler" som en af de ti obligatoriske foranstaltninger; mobile enheder falder under det sidste. ISO/IEC 27001 uddyber dette i Annex A med specifikke kontrolforanstaltninger for "mobile devices" og "asset management" — en organisation med ISO 27001-certificering har normalt allerede dokumenteret denne del. Cybersikkerhedsloven implementerer denne forpligtelse i dansk ret og træder i kraft den 15. august 2026; indtil da er direktivet selv udgangspunktet, ikke den nationale lov.