le client demande comment nous sécurisons les appareils mobiles du personnel

La gestion des appareils mobiles relève de l'accès et des ressources de l'entreprise

Cette question correspond à l'article 21 alinéa 2 points d et i de la NIS2 : la sécurité lors de l'acquisition, du développement et de la maintenance, ainsi que la gestion des accès incluant la gestion des ressources de l'entreprise. Les téléphones et tablettes sont des ressources de l'entreprise (« assets ») dès lors qu'ils peuvent accéder aux données métier — messagerie, systèmes clients, disques partagés. Le client veut savoir si ces appareils sont dans un état gérable : sont-ils enregistrés, y a-t-il une obligation de mot de passe ou de code PIN, un appareil perdu peut-il être effacé à distance, le chiffrement est-il activé.

Si une solution MDM (Mobile Device Management) s'exécute — Intune, Jamf, Google Endpoint Management ou équivalent — c'est alors la preuve : une capture d'écran du profil de politique, ou une description des règles configurées (code PIN, chiffrement, effacement à distance, restrictions d'applications). L'absence de MDM ne signifie pas automatiquement « non » : bon nombre de petites entreprises le gèrent avec une politique BYOD (Bring Your Own Device) plus une déclaration d'utilisateur signée. Décrivez alors ce qui existe, au lieu de passer la question. la politique d'accès incluant la gestion des actifs informatiques — si un registre des ressources et une matrice d'accès y existent déjà, la gestion mobile s'y rattache logiquement et vous pouvez renvoyer à la même source.

Sans MDM et sans politique, « à définir » est l'étiquette honnête, non pas « non » : beaucoup de clients acceptent une trajectoire de progression, pourvu que vous indiquiez ce qui existe déjà et ce qui arrive. Mentionnez aussi si l'authentification multifacteur est obligatoire pour l'accès depuis des appareils mobiles — c'est souvent une sous-question distincte dans la même liste et elle est couverte par le même contrôle.

Où cela revient dans l'Annexe A et la loi

Dans l'ISO/IEC 27001 Annexe A, les appareils mobiles relèvent des mesures de maîtrise pour la gestion des ressources de l'entreprise et la sécurité des accès ; les organisations déjà certifiées ISO disposent généralement de cette preuve dans le cadre de leur politique d'accès. La Loi sur la cybersécurité remplacera à partir du 15 août 2026 les règles actuelles d'application de la NIS2 au niveau national, mais la classification de cette mesure — sous l'article 21 alinéa 2 — ne change pas.