spørgeskemaet spørger, om hjemmekontorpladser er sikret, hvad svarer jeg

Hjemmeworkplaceringer falder under adgangspolitik, ikke under et separat emne

Der er ikke behov for et separat svar for "arbejde hjemmefra": spørgsmålet handler i praksis om adgangskontrol, godkendelse og sikring af slutenheder. Hvis det er i orden, dækkes arbejde hjemmefra. Besvar derfor spørgsmålet ved at henvise til de samme foranstaltninger, som du allerede anvender for arbejdsplaceringer på kontoret: hvem får adgang til hvilke systemer, med hvilken enhed og via hvilken forbindelse.

Konkret søger klienten efter tre ting: en VPN eller anden krypteret forbindelse til virksomhedssystemer, multifaktor-godkendelse for ekstern adgang og styring af bærbare computere og telefoner, som medarbejdere bruger derhjemme (patchniveau, diskurkryptering, adgangskodepolitik). Hvis du har dokumenteret det, kan du begrunde "ja". Hvis en af de tre mangler — for eksempel MFA er kun obligatorisk på kontoret, ikke ved arbejde hjemmefra — er svaret "delvist" med en forklaring på, hvilket område der er dækket. Kontroller dette mod adgangspolitikken og styringen af virksomhedsressourcer og mod status for multifaktor-godkendelse: det er de to dossierdokumenter, som dette svar bygger på. Hvis du ikke har VPN, men en anden form for krypteret adgang, angiv det specifikt — "sikret" uden dokumentation giver ikke et brugbart svar.

Kan henføres til artikel 21, stk. 2, ikke til en selvstændig norm for arbejde hjemmefra

NIS2 har ingen særskilt artikel om arbejde hjemmefra. De ti foranstaltninger i artikel 21, stk. 2, i Direktiv (EU) 2022/2555 nævner adgangspolitik og styring af virksomhedsmidler (punkt i) og anvendelsen af multifaktor-godkendelse eller løbende godkendelse (punkt j) som særskilte kategorier — arbejde hjemmefra er en anvendelse heraf, ikke en egen kategori. I en ISO 27001-implementering falder dette under Annex A-foranstaltninger for adgangssikring og udstyr uden for virksomheden. Hvis klienten spørger om "sikrede hjemmeworkplaceringer", er svaret faktisk et uddrag af din bredere adgangspolitik, og det er også der, du skal søge dokumentationen.