cómo relleno la pregunta sobre seguridad en el trabajo desde casa

El teletrabajo se incluye en la política de acceso y MFA, no en un apartado separado

La pregunta sobre teletrabajo generalmente no es un tema independiente, sino una aplicación de dos de las diez medidas del artículo 21, apartado 2, NIS2: política de acceso (apartado i) y el uso de autenticación multifactor o conexiones seguras comparables (apartado j). Por lo tanto, no la rellenes de forma independiente, sino de manera coherente con lo que ya has respondido en la política de acceso y la gestión de activos y en la pregunta sobre autenticación multifactor. Si la respuesta no coincide con lo que dices aquí, eso es lo primero que notará un evaluador.

Concretamente, el cliente suele querer saber: ¿inician sesión los empleados a través de una VPN o conexión zero-trust?, ¿es obligatoria la MFA en esa conexión?, ¿existe una política de dispositivos para portátiles privados versus corporativos?, ¿hay una regla básica sobre redes wifi públicas? Si no tienes esto como documento de política separado sino como párrafo en un reglamento informático más amplio, eso es suficiente como documento probatorio — cita la sección, no el documento completo. Si falta uno de los cuatro puntos, no respondas automáticamente "no": indica qué sí existe (por ejemplo, MFA sí, política de dispositivos no) y deja que el cliente evalúe por sí mismo la pregunta de seguimiento. Si no tienes ninguno de los dos, entonces "no, aún no formalizado" es factualmente más correcto que un "sí" parcial que no puedas justificar.

De dónde viene esto: artículo 21, apartado 2, apartados i y j

El artículo 21, apartado 2, NIS2 menciona bajo i "política y procedimientos relativos al uso de la criptografía" — no, ese es el apartado h; el apartado i se refiere a la seguridad del personal, la política de acceso y la gestión de activos, y el apartado j específicamente al uso de soluciones de autenticación multifactor o autenticación continua, comunicación cifrada y comunicación de emergencia segura dentro de la entidad. ISO/IEC 27001 Anexo A lo desarrolla más en los controles para teletrabajo y acceso a la red. La Ley de Ciberseguridad adoptará esta clasificación sin cambios cuando entre en vigor el 15 de agosto de 2026, por lo que una respuesta que ya ahora se alinee con estos dos apartados seguirá siendo válida después de esa fecha.