le questionnaire demande si les employés travaillent via VPN, comment l'étayer

Le VPN est une mesure technique, pas un type de mesure distinct

Le VPN relève de la sécurité d'accès et du chiffrement de la communication, pas d'une catégorie propre. L'article 21, paragraphe 2, de la directive NIS2 ne contient pas d'exigence littérale de VPN ; les dix mesures qui y figurent sont formulées de manière fonctionnelle, notamment sous les points f (politique d'accès) et h (chiffrement). Un client qui demande spécifiquement un VPN traduit généralement cette exigence fonctionnelle en une technique concrète unique — souvent parce que son propre format de liste de questions l'impose, non parce que la loi utilise ce terme.

Si les collaborateurs travaillent à distance via un VPN, la justification repose généralement sur un document extrait de la politique d'accès indiquant le VPN comme condition d'accès externe, complété le cas échéant par un aperçu de la configuration ou une capture d'écran de la console d'administration. En l'absence de ce document, répondre « non » avec une brève explication (par exemple : l'accès à distance s'effectue via une autre méthode contrôlée) est préférable à une réponse VPN sans source — le dossier ne complète que ce qu'il peut justifier, et en cas de doute, le champ reste ouvert pour un remplissage personnel. Cela s'aligne sur la politique d'accès et à la gestion des biens de l'entreprise, où le VPN est généralement l'un des contrôles cités aux côtés de la politique de mots de passe et de la gestion des appareils.

D'où cela vient : Annexe A et article 21 alinéa 2

L'annexe A d'ISO/IEC 27001 mentionne la sécurité des réseaux et les mesures cryptographiques comme mesures de contrôle, mais le VPN n'y figure pas nommément — c'est un choix de mise en œuvre dans un contrôle plus large. Les entreprises déjà certifiées ISO 27001 peuvent généralement se référer à la Déclaration d'applicabilité pour cette question plutôt que de chercher une preuve VPN distincte ; voir ce qu'un certificat ISO 27001 couvre et ne couvre pas. Pour les entreprises qui relèveront elles-mêmes de la Loi sur la cybersécurité dès son entrée en vigueur le 15 août 2026, la même formulation fonctionnelle s'applique à partir de la transposition NIS2 — la loi prescrit l'objectif, pas le moyen.