el cliente pregunta cómo aseguramos el teletrabajo, qué relleno ahí

El trabajo remoto entra dentro de la política de acceso, no es una medida independiente

No hay un punto separado "trabajo remoto" en el artículo 21, apartado 2 de la NIS2 ni en el Anexo A de ISO 27001. En la práctica, la cuestión se aborda mediante una combinación: política de acceso y gestión de activos empresariales, autenticación multifactor y, si es necesario, cifrado de datos que salen de la red empresarial. Cuando tu cliente pregunta "¿cómo aseguráis el trabajo remoto?", suele ser una versión abreviada de: ¿cómo gestionáis el acceso a sistemas empresariales desde una ubicación fuera de la oficina, y en qué dispositivo?

En la práctica, el evaluador busca tres cosas. Una: el acceso a sistemas y datos desde casa está vinculado a una cuenta gestionada, con la política de acceso y la gestión de activos como documento fijado. Dos: ¿es obligatoria la autenticación multifactor para ese acceso? sin MFA, "sí, seguro" normalmente no es una respuesta sostenible, véase autenticación multifactor para sistemas empresariales. Tres: ¿hay cifrado en el dispositivo o la conexión (VPN, cifrado de disco) si se almacenan datos sensibles localmente? Si no tienes MFA o no tienes obligación de VPN, responde entonces "no" o "parcialmente" — una respuesta "sí" propuesta sin política subyacente no es un documento probatorio, es una suposición, y esa suposición reaparece en la auditoría.

El documento probatorio es la política, no una captura de pantalla

El documento que generalmente se solicita es la propia política de acceso (con el párrafo sobre trabajo externo o acceso remoto) más una exportación del proveedor de identidad que muestre la imposición de MFA. Una captura de pantalla de un ordenador portátil no es prueba del proceso. En virtud de la Ley de Ciberseguridad — la transposición neerlandesa que entra en vigor el 15 de agosto de 2026 — aparece el mismo requisito a través de las diez medidas del artículo 21, apartado 2 de la NIS2; quien ahora ya tiene la política de acceso y MFA en orden, tiene con ello también una ventaja en esa obligación. Por lo demás, esto es independiente de la cuestión de si tu propia empresa entra dentro de la directiva como entidad conforme a la NIS2 o la transposición nacional — eso determina si debes cumplir, no qué rellenas aquí.