el cuestionario pregunta sobre la política de dispositivos móviles y portátiles de los empleados

La política de dispositivos móviles se incluye en la seguridad de acceso y los activos empresariales

Esta pregunta corresponde al artículo 21, apartado 2, letra i de NIS2: política de seguridad de acceso, incluida la gestión de activos empresariales ("asset management"). Los teléfonos y portátiles son activos empresariales que dan acceso a datos fuera de la red de oficina, y el cliente quiere saber si existe control sobre esto. En la práctica, el cuestionario espera respuesta sobre algunos puntos fijos: si existe un registro de dispositivos entregados, si el cifrado del almacenamiento es obligatorio, si existe un requisito mínimo de PIN o biometría, y si un dispositivo perdido o robado puede ser borrado remotamente (MDM — mobile device management). También BYOD (bring your own device, dispositivos propios de empleados) aparece a menudo por separado, porque presenta un riesgo diferente al de los dispositivos empresariales.

Si esta política aún no está documentada pero la práctica sí funciona correctamente — el cifrado está activado por defecto, el acceso se realiza mediante una cuenta con autenticación multifactor — entonces "no, aún no hay una política documentada" es la respuesta honesta, posiblemente con una aclaración sobre las medidas reales implementadas. No responda "sí" a una pregunta sobre una solución MDM si no existe; un cliente que después pregunte sobre el registro de dispositivos o el proceso de incidentes por pérdida se quedará sin justificación. La pérdida o robo de un dispositivo también afecta a el procedimiento para incidentes de seguridad, por lo que estas dos respuestas deben ser coherentes entre sí.

Dónde consta: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2, letra i de la Directiva (UE) 2022/2555 menciona la política de seguridad de acceso y la gestión de activos empresariales como una de las diez medidas obligatorias. ISO/IEC 27001 lo desarrolla en el Anexo A, bajo las medidas de control para "endpoint devices" y dispositivos móviles; quienes ya estén certificados en ISO 27001 suelen tener esta sección ya documentada. La Ley holandesa de Ciberseguridad, que transpone NIS2 y entra en vigor el 15 de agosto de 2026, sigue la misma clasificación en diez medidas.