comment remplir la question sur la sécurité du télétravail

Le télétravail relève de la politique d'accès et de l'authentification multifacteur, non d'une rubrique distincte

La question sur le télétravail n'est généralement pas un thème autonome, mais une mise en œuvre de deux des dix mesures de l'article 21, paragraphe 2, NIS2 : la politique d'accès (point i) et l'utilisation de l'authentification multifacteur ou de connexions sécurisées comparables (point j). Ne le remplissez donc pas séparément, mais de manière cohérente avec ce que vous avez déjà répondu à la politique d'accès et de la gestion des actifs et dans la question sur l'authentification multifacteur. Si la réponse ne correspond pas à ce que vous déclarez ici, c'est la première chose qu'un évaluateur remarquera.

Concrètement, le client souhaite généralement savoir : les employés se connectent-ils via un VPN ou une connexion zero-trust, l'authentification multifacteur est-elle obligatoire sur cette connexion, existe-t-il une politique d'appareils pour les ordinateurs portables personnels par rapport aux ordinateurs portables professionnels, et existe-t-il une règle de base concernant les réseaux Wi-Fi publics. Si vous n'avez pas ceci comme document politique distinct mais comme paragraphe dans un règlement informatique plus large, cela suffit comme pièce justificative — citez cette section, non l'ensemble du document. Si l'une de ces quatre points manque, ne répondez pas automatiquement par « non » : indiquez ce qui existe réellement (par exemple authentification multifacteur oui, politique d'appareils non) et laissez le client évaluer la question suivante lui-même. Si vous n'avez ni l'un ni l'autre, alors « non, pas encore formalisé » est factuellement plus exact qu'un demi-« oui » que vous ne pouvez pas justifier.

D'où cela provient : article 21, paragraphe 2, points i et j

L'article 21, paragraphe 2, NIS2 mentionne au point i « politique et procédures relatives à l'utilisation de la cryptographie » — non, c'est le point h ; le point i concerne la sécurité du personnel, la politique d'accès et la gestion des actifs, et le point j spécifiquement l'utilisation de solutions d'authentification multifacteur ou d'authentification continue, la communication chiffrée et la communication d'urgence sécurisée au sein de l'entité. ISO/IEC 27001 Annex A développe cela davantage dans les contrôles pour le travail à distance et l'accès réseau. La Loi sur la cybersécurité reprendra cette classification sans modification dès son entrée en vigueur le 15 août 2026, de sorte qu'une réponse qui s'aligne déjà maintenant sur ces deux points restera valable après cette date.