el cuestionario pregunta si los espacios de trabajo en casa están protegidos qué respondo

Los espacios de trabajo desde casa están incluidos en la política de acceso, no en un tema independiente

No es necesaria una respuesta separada para "trabajo desde casa": la pregunta se refiere en la práctica a control de acceso, autenticación y seguridad de equipos terminales. Si todo eso está en orden, el trabajo desde casa está cubierto. Responde a la pregunta haciendo referencia a las mismas medidas que ya utilizas para espacios de trabajo en oficina: quién obtiene acceso a qué sistemas, con qué dispositivo y a través de qué conexión.

En concreto, el cliente busca tres cosas: una VPN u otra conexión encriptada a los sistemas empresariales, autenticación multifactor para el acceso externo, y gestión de los portátiles y teléfonos que los empleados utilizan en casa (nivel de parches, encriptación de disco, política de contraseñas). Si lo has documentado, se puede justificar un "sí". Si falta uno de los tres — por ejemplo, MFA es obligatorio solo en la oficina, no en el trabajo desde casa — la respuesta es "parcialmente" con una aclaración sobre qué parte sí está cubierta. Verifica esto contra la política de acceso y la gestión de activos y contra el estado de la autenticación multifactor: estos son los dos documentos de expediente en los que se basa esta respuesta. Si no tienes VPN pero sí otra forma de acceso encriptado, especifícalo — "seguro" sin fundamentación no proporciona una respuesta útil.

Remitible al artículo 21 apartado 2, no a una norma propia de trabajo desde casa

NIS2 no reconoce un artículo independiente sobre trabajo desde casa. Las diez medidas del artículo 21 apartado 2 de la Directiva (UE) 2022/2555 mencionan la política de acceso y la gestión de activos empresariales (apartado i) y el uso de autenticación multifactor o autenticación continua (apartado j) como categorías independientes — el trabajo desde casa es una aplicación de esto, no una categoría propia. En una implementación de ISO 27001, esto se incluye en las medidas del Anexo A para protección de acceso y equipos fuera de las instalaciones de la empresa. Si el cliente pregunta por "espacios de trabajo desde casa asegurados", la respuesta es en realidad un extracto de tu política de acceso más amplia, y ese es también el lugar donde buscarás la evidencia.