comment remplir la question sur le VPN et l'accès sécurisé à distance

La question va au-delà du seul VPN

Un VPN est une seule technique, mais la question elle-même porte sur la sécurisation de l'accès à distance dans son ensemble. Cela relève du point (i) des dix mesures énumérées à l'article 21, paragraphe 2, de la directive NIS2 : sécurité du personnel, politique d'accès et gestion des actifs. Un client qui demande « accès à distance sécurisé » souhaite généralement savoir s'il existe un VPN ou une connexion chiffrée équivalente, si l'authentification multifacteur est obligatoire, et si l'accès est limité à ce dont une personne a besoin pour sa fonction. Ne répondez donc pas simplement « oui, nous utilisons un VPN » — ajoutez si cela est obligatoire pour tous les accès externes, et s'il existe une limite de temps ou une déconnexion automatique.

Si vous n'avez pas de VPN mais un autre mécanisme — une solution zero-trust, une passerelle avec authentification par certificat, un environnement cloud sans réseau local — alors « non » à la question VPN littérale n'est pas faux, mais incomplet. Dans ce cas, décrivez ce qui est réellement utilisé, car le portail de votre client demande en réalité l'objectif (accès chiffré et contrôlé), pas le produit spécifique. Si l'authentification multifacteur est absente de l'accès à distance, c'est une question distincte qui réapparaît souvent dans la liste, voir l'authentification multifacteur est-elle utilisée pour l'accès aux systèmes d'entreprise. Si vous n'avez rien documenté sur qui peut se connecter à distance et avec quels droits, cela touche aussi à la question plus large de la politique d'accès, voir la politique d'accès est-elle documentée, y compris la gestion des actifs de l'entreprise.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2, point i, de la directive (UE) 2022/2555 cite la sécurité du personnel, la politique d'accès et la gestion des actifs comme l'une des dix mesures obligatoires ; l'accès à distance en relève. La norme ISO/IEC 27001, annexe A, développe cela davantage avec des mesures de contrôle spécifiques pour la sécurité d'accès et la sécurité des réseaux, où l'utilisation du VPN est généralement documentée. La Loi sur la cybersécurité, la transposition néerlandaise de NIS2, entre en vigueur le 15 août 2026 et établit les mêmes dix mesures pour les entités relevant de la loi.