hvordan udfylder jeg spørgsmålet om sikkerhed ved hjemmearbejde

Hjemmearbejde falder under adgangskontrol og MFA, ikke under et separat afsnit

Spørgsmålet om hjemmearbejde er typisk ikke et selvstændigt emne, men en konkretisering af to af de ti foranstaltninger i artikel 21, stk. 2 NIS2: adgangskontrol (punkt i) og brugen af multi-faktor-autentificering eller tilsvarende sikrede forbindelser (punkt j). Udfyld det derfor ikke separat, men konsistent med det, du allerede har svaret på spørgsmålet om adgangspolitikken og styringen af virksomhedsressourcer og på multi-faktor-autentificering. Hvis svaret der ikke stemmer overens med det, du siger her, er det det første, en evaluator bemærker.

Konkret vil kunden normalt vide: logger medarbejdere ind via en VPN eller zero-trust-forbindelse, er MFA obligatorisk på denne forbindelse, findes der en enhedspolitik for private vs. arbejdslaptops, og er der en grundregel om offentligt wifi. Hvis du ikke har dette som et separat policydokument, men som et afsnit i en bredere IT-regulering, er det tilstrækkeligt som bevis — citér afsnittet, ikke hele dokumentet. Hvis et af de fire punkter mangler, svar da ikke automatisk "nej": angiv hvad der faktisk er til stede (f.eks. MFA ja, enhedspolitik nej) og lad kunden selv vurdere opfølgningsspørgsmålet. Hvis du ikke har noget af dele, er "nej, endnu ikke formaliseret" faktisk mere korrekt end et halvt "ja", som du ikke kan understøtte.

Hvor dette kommer fra: artikel 21, stk. 2, punkt i og j

Artikel 21, stk. 2 NIS2 nævner under punkt i "politik og procedurer vedrørende brugen af kryptografi" — nej, det er punkt h; punkt i vedrører personalesikkerhed, adgangskontrol og aktivstyring, og punkt j specifikt brugen af multi-faktor-autentificerings- eller kontinuerlig autentificeringsløsninger, krypteret kommunikation og sikret nødkommunikation inden for enheden. ISO/IEC 27001 Annex A udbyder dette yderligere under kontrolforanstaltningerne for fjernarbejde og netværksadgang. Cybersikkerhedsloven tager denne inddeling uændret over, når den træder i kraft den 15. august 2026, så et svar, der nu allerede slutter an til disse to punkter, forbliver brugbart efter denne dato.