le client demande comment nous sécurisons le télétravail et le BYOD, que dois-je remplir

Le télétravail et le BYOD relèvent de la politique d'accès et de la cryptographie

Cette question n'apparaît généralement pas comme un élément distinct, mais comme une mise en œuvre de deux des dix mesures de l'article 21, paragraphe 2, NIS2 : politique d'accès (point i) et cryptographie (point h). Le client souhaite savoir comment vous évitez qu'un téléphone personnel ou un ordinateur portable domestique ne devienne une fuite vers les systèmes d'entreprise. Remplissez ce que vous avez réellement : MDM (mobile device management) sur les appareils BYOD, chiffrement de disque obligatoire, une obligation VPN pour l'accès à distance, et des profils séparés pour le travail et l'usage personnel. Si vous n'avez pas de MDM mais une restriction technique — par exemple que les données d'entreprise ne sont accessibles que via un portail de navigateur sans stockage local — c'est une réponse valide, pas une solution de secours.

En l'absence de politique BYOD complète, c'est-à-dire aucune séparation technique ou organisationnelle entre l'usage personnel et le travail, alors « non » est la bonne réponse. Une liste sans réglementation BYOD n'est d'ailleurs pas automatiquement un problème : dans l'Annexe A d'ISO/IEC 27001, cela relève des mesures de contrôle pour les points d'accès et l'accès, et de nombreuses entreprises atténuent le risque en autorisant le télétravail uniquement sur un appareil professionnel — il n'y a alors rien à confirmer sur le BYOD, mais sur la politique d'accès et de la gestion des actifs. Vérifiez également s'il y a quelque chose de défini concernant l'authentification multifacteur lors de l'accès aux systèmes d'entreprise, car cette question figure souvent dans le même bloc et serait autrement répondue deux fois avec des réponses contradictoires.

Où cela se trouve précisément : article 21, paragraphe 2, points h et i

L'article 21, paragraphe 2, de la Directive (UE) 2022/2555 mentionne sous h la politique de cryptographie et de chiffrement, et sous i la sécurité du personnel, la politique d'accès et la gestion des ressources d'entreprise — ce qui inclut l'équipement par lequel les salariés accèdent, y compris les téléphones personnels et les ordinateurs portables utilisés pour le télétravail. Dans la Loi sur la cybersécurité, la transposition néerlandaise de cette directive, les mêmes dix mesures réapparaissent ; la loi entre en vigueur le 15 août 2026. ISO/IEC 27001 Annexe A développe cela davantage avec des mesures de contrôle distinctes pour les appareils terminaux, le télétravail et la gestion des accès, ce qui explique pourquoi les clients posent parfois cette question comme une seule question et parfois comme trois questions distinctes.