upitnik pita koriste li zaposlenici VPN, kako to mogu potkrijepiti

VPN je tehnička mjera, nije odvojena vrsta mjere

VPN spada pod zaštitu pristupa i šifriranje komunikacije, a ne pod vlastitu kategoriju. U članku 21. stavkom 2. Direktive NIS2 nema doslovno navedene VPN-obveze; deset mjera tamo su funkcionalno formulirane, između ostaloga pod f (politika pristupa) i h (šifriranje). Kupac koji specifično pita za VPN obično tu funkcionalnu obvezu prevodi u jednu konkretnu tehniku — često jer njegov vlastiti format popisa pitanja to propisuje, a ne jer zakon koristi tu riječ.

Ako zaposlenici na daljinu rade putem VPN-a, obrazloženje je obično dio politike pristupa u kojem je VPN naveden kao obaveza za vanjski pristup, eventualno dopunjeno pregledom konfiguracije ili snimkom zaslona iz konzole upravljanja. Ako taj dokument nedostaje, tada je "ne" s kratkim objašnjenjem (primjerice: vanjski pristup prolazi drugom kontroliranom metodom) bolje nego odgovor o VPN-u bez izvora — dossier samo unosi ono što može dokazati, a ako je upitno, polje ostaje otvoreno za vlastito popunjavanje. To je u skladu s politikom pristupa i upravljanjem poslovnim sredstvima, gdje je VPN tipično jedna od navedenih kontrola zajedno s politikom lozinke i upravljanjem uređajima.

Gdje je to iz: Prilog A i članak 21 stavak 2

ISO/IEC 27001 Dodatak A navodi sigurnost mreže i kriptografske mjere kao mjere kontrole, ali ni tamo VPN nije imenovan — to je izbor implementacije pod širu kontrolu. Tko je već ISO 27001-certificiran, obično može za ovo pitanje odgovoriti upućivanjem na Izjavu o primjenjivosti umjesto da traži odvojen VPN-dokaz; vidi što ISO 27001-certifikat pokriva a što ne. Za poduzeća koja će sama spadati pod Zakon o kibernetskoj sigurnosti kada stupи na snagu 15. kolovoza 2026., vrijedi isto funkcionalno formuliranje iz preuređenja NIS2 — zakon propisuje cilj, ne sredstvo.