el cliente pregunta sobre nuestra política de dispositivos móviles, qué relleno ahí

La política de dispositivos móviles cae bajo la política de acceso, no bajo un tema separado

Esto corresponde al artículo 21 apartado 2 letra d y letra i de NIS2: seguridad del acceso y gestión de activos empresariales («asset management»), y en ISO 27001 en el Anexo A bajo la categoría de activos y control de acceso. No existe una medida NIS2 separada para «teléfonos móviles» — el cliente traduce su propia lista de preguntas ISO o BIO a esta parte, y tu respuesta debe conectar lógicamente en lugar de figurar como un documento político independiente.

Prácticamente: si hay una solución MDM en funcionamiento (Intune, Jamf, o similar), con bloqueo de pantalla obligatorio, cifrado y eliminación remota en caso de pérdida, entonces ese es el documento de prueba — una captura de pantalla de la configuración de la política o el documento político en sí. En BYOD (teléfonos propios de los empleados para trabajo), la pregunta suele formularse de manera más clara, porque la separación entre datos empresariales y privados es entonces el punto de atención: la contenerización o una aplicación de trabajo separada suele ser suficiente como respuesta. Si falta la política formal pero las medidas individuales existen (MFA, cifrado, capacidad de borrado), entonces un «no» a la pregunta sobre una política documentada es de hecho más correcto que un «sí» apresurado — el cliente suele preguntar por el documento, no por la práctica. Comprueba también si autenticación multifactor para sistemas empresariales ya ha sido respondido, porque esas dos respuestas no deben contradecirse.

Donde esto aparece generalmente en la lista de preguntas

Las listas de preguntas que preguntan sobre políticas de dispositivos móviles suelen agrupar esto con preguntas sobre el cifrado de dispositivos finales — véase la política sobre criptografía y cifrado para la pregunta de cifrado más amplia que suele aparecer allí — y con el inventario de activos más amplio de la política de acceso. En ISO 27001 Anexo A, los dispositivos móviles no aparecen como capítulo propio sino como subparte de la gestión de activos y el control de acceso; quien ya haya fijado la respuesta en ese lugar puede conectar directamente la respuesta de dispositivos móviles en lugar de inventar un nuevo documento político.