le questionnaire demande comment nous sécurisons le télétravail et l'accès à distance

L'accès à distance relève de la politique d'accès et de l'authentification multifacteur

La question sur le télétravail et l'accès à distance est généralement une combinaison de deux des dix mesures de l'article 21 paragraphe 2 de la directive NIS2 : point (i), politique d'accès et gestion des actifs informatiques, et point (j), utilisation de l'authentification multifacteur. Les clients qui posent cette question séparément veulent savoir comment un collaborateur obtient accès aux systèmes informatiques de l'entreprise depuis un réseau privé ou un ordinateur personnel, et quels obstacles y sont associés. Une connexion VPN seule ne répond pas à cette question — il s'agit de la combinaison du chiffrement de la connexion, de l'authentification et de la gestion des appareils.

La preuve concrète se compose généralement de trois éléments : une configuration VPN ou zero-trust avec chiffrement, une obligation d'authentification multifacteur qui s'applique aussi à l'accès externe (pas seulement au réseau interne), et un aperçu des appareils autorisés à accéder — privés ou professionnels. Si une solution de gestion des appareils mobiles est en place, c'est un élément de preuve solide. Si elle manque, la réponse est souvent « non » pour la partie gestion des appareils, même si l'authentification multifacteur est présente. Remplissez alors séparément pour chaque élément ce qui est et n'est pas réglé, plutôt qu'un « oui » ou « non » global unique — cela évite un « non » injustifié à une question qui est en fait partiellement correcte. Si le chiffrement du trafic lui-même est le sujet de la question, cela relève plutôt de la politique sur la cryptographie et le chiffrement que de l'accès. En cas de doute sur le champ exact concerné, vérifiez aussi si la question porte vraiment sur la politique d'accès incluant la gestion des actifs informatiques — c'est souvent le cas de deux sous-questions distinctes regroupées en une seule ligne.

Où cela se trouve : article 21 paragraphe 2, points i et j

L'article 21 paragraphe 2 de la directive (UE) 2022/2555 mentionne la politique d'accès et la gestion des actifs informatiques comme point (i) et l'utilisation de l'authentification multifacteur ou de l'authentification continue comme point (j), aux côtés du chiffrement comme point (h). ISO/IEC 27001 Annexe A développe cela davantage dans les mesures de maîtrise relative à la sécurité d'accès et aux équipements en dehors des locaux de l'entreprise. La loi sur la cybersécurité reprendra cette classification dès son entrée en vigueur après le 15 août 2026, donc la structure de la question ne changera pas à ce moment — en revanche, ceux qui sont tenus d'y répondre changeront.