el cuestionario pregunta cómo aseguramos el trabajo remoto y el acceso remoto

El acceso remoto se incluye en la política de acceso y en la MFA

La pregunta sobre trabajo desde casa y acceso remoto suele ser una combinación de dos de las diez medidas del artículo 21 apartado 2 de la Directiva NIS2: punto (i), política de acceso y gestión de activos empresariales, y punto (j), el uso de autenticación multifactor. Los clientes que lo preguntan por separado quieren saber cómo un empleado obtiene acceso a los sistemas empresariales desde una red privada o portátil propio, y qué barreras hay al respecto. Una conexión VPN por sí sola no es una respuesta a esta pregunta — se trata de la combinación de conexión cifrada, autenticación y gestión de dispositivos.

La evidencia concreta suele constar de tres componentes: una configuración VPN o de confianza cero con cifrado, una obligación de MFA que también se aplique al acceso externo (no solo a la red empresarial), y un inventario de qué dispositivos pueden obtener acceso — privados o corporativos. Si se ejecuta una solución de Mobile Device Management, esa es una prueba sólida. Si falta, la respuesta suele ser "no" en la parte de gestión de dispositivos, incluso si la MFA está implementada. Completa entonces por separado en cada componente lo que sí y no está regulado, en lugar de un único "sí" o "no" resumido — eso evita un "no" injustificado en una pregunta que en realidad es correcta en la mitad. Si el cifrado del tráfico en sí es objeto de la pregunta, entonces corresponde más bien a la política sobre criptografía y cifrado que a acceso. Si tienes dudas sobre qué casilla afecta exactamente, comprueba también si la pregunta en realidad va sobre la política de acceso incluyendo la gestión de activos — a menudo se trata de dos subpreguntas separadas empaquetadas en una sola línea.

Dónde está esto: artículo 21 apartado 2, puntos i y j

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona la política de acceso y la gestión de activos empresariales como punto (i) y el uso de autenticación multifactor o autenticación continua como punto (j), junto con el cifrado como punto (h). La norma ISO/IEC 27001 Anexo A lo desarrolla más en las medidas de control sobre seguridad del acceso y equipos fuera de las instalaciones empresariales. La Ley de Ciberseguridad adopta esta estructura una vez que entra en vigor después del 15 de agosto de 2026, por lo que la estructura de la pregunta no cambia — sí cambia quién está obligado a responder.