le client demande notre politique de gestion des appareils mobiles, que remplir là

La politique relative aux appareils mobiles relève de la politique d'accès, et non d'un thème distinct

Cela relève de l'article 21, paragraphe 2, points d et i de la NIS2 : sécurité de l'accès et gestion des actifs informatiques (« asset management »), et dans la norme ISO 27001 à l'Annexe A sous la catégorie des actifs et du contrôle d'accès. Il n'existe pas de mesure NIS2 distincte pour les « téléphones mobiles » — le client traduit sa propre liste de questions ISO ou BIO vers cette section, et votre réponse doit s'y inscrire logiquement au lieu de constituer une politique distincte.

En pratique : si une solution MDM est en place (Intune, Jamf ou similaire), avec verrouillage obligatoire de l'écran, chiffrement et effacement à distance en cas de perte, c'est la pièce justificative — une capture d'écran de la configuration de la politique ou le document de politique lui-même. Pour le BYOD (téléphones personnels des employés utilisés à titre professionnel), la question est souvent formulée de manière plus stricte, car la séparation entre les données professionnelles et personnelles est alors l'enjeu central : la conteneurisation ou une application professionnelle distincte suffisent souvent comme réponse. En l'absence de politique formelle mais si les mesures isolées existent (authentification multifacteur, chiffrement, possibilité d'effacement), alors « non » à la question relative à une politique documentée est en fait plus exact qu'un « oui » prématuré — le client demande souvent le document, non pas la pratique. Vérifiez également si authentification multifacteur pour les systèmes d'entreprise a déjà reçu une réponse, car ces deux réponses ne doivent pas se contredire.

Où cela figure généralement dans la liste de questions

Les listes de questions qui posent des questions sur la politique relative aux appareils mobiles les regroupent souvent avec des questions sur le chiffrement des équipements terminaux — voir la politique sur la cryptographie et le chiffrement pour la question d'encryptage plus large qui figure généralement à proximité — et avec l'inventaire plus large des actifs issu de la politique d'accès. Dans l'ISO 27001 Annexe A, les appareils mobiles ne constituent pas un chapitre distinct mais une sous-section de la gestion des actifs et du contrôle d'accès ; si la réponse y a déjà été documentée, la réponse sur les appareils mobiles peut s'y rattacher directement au lieu d'inventer une nouvelle politique.