le questionnaire demande une politique pour les appareils mobiles et les ordinateurs portables du personnel

La politique relative aux appareils mobiles relève de la maîtrise d'accès et des actifs informatiques

Cette question ressortit à l'article 21, paragraphe 2, point i de la NIS2 : politique de maîtrise d'accès, y compris la gestion des actifs informatiques (« asset management »). Les téléphones et ordinateurs portables sont des actifs informatiques qui donnent accès à des données en dehors du réseau du bureau, et le client souhaite savoir si cette situation est maîtrisée. En pratique, le questionnaire s'attend à une réponse sur quelques points fixes : existe-t-il un registre des appareils distribués, le chiffrement du stockage est-il obligatoire, y a-t-il une exigence minimale en matière de code PIN ou de biométrie, et un appareil perdu ou volé peut-il être effacé à distance (MDM — mobile device management). Le BYOD (bring your own device, appareils personnels des collaborateurs) revient également souvent séparément, car il présente un risque différent de celui des appareils professionnels.

Si cette politique n'est pas encore documentée mais que la pratique est bien en place — le chiffrement est activé par défaut, l'accès passe par un compte avec l'authentification multifacteur — alors « non, pas encore de politique documentée » est la réponse honnête, éventuellement avec un commentaire sur les mesures réelles mises en place. Ne répondez pas « oui » à une question sur une solution MDM si celle-ci n'existe pas ; un client qui approfondit ensuite en demandant des détails sur le registre des appareils ou la procédure d'incident en cas de perte se trouvera alors sans justification. La perte ou le vol d'un appareil a d'ailleurs aussi une incidence sur la procédure de traitement des incidents de sécurité, il faut donc que ces deux réponses soient cohérentes.

Où cela figure : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, point i de la Directive (UE) 2022/2555 mentionne la politique de maîtrise d'accès et la gestion des actifs informatiques comme l'une des dix mesures obligatoires. La norme ISO/IEC 27001 l'approfondit davantage dans l'Annexe A, sous les mesures de contrôle pour les « endpoint devices » et les équipements mobiles ; les organisations déjà certifiées ISO 27001 ont généralement déjà cette partie documentée. La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet), qui transpose la NIS2 et entre en vigueur le 15 août 2026, suit la même structure en dix mesures.