a kérdőív azt kérdezi, hogy az alkalmazottak VPN-en keresztül dolgoznak-e, hogyan támasztam ezt alá

A VPN egy technikai intézkedés, nem egy külön intézkedéstípus

A VPN a hozzáférés-védelemre és a kommunikáció titkosítására vonatkozik, nem egy saját kategóriára. A NIS2-irányelv 21. cikkének 2. bekezdésében nincs kifejezett VPN-követelmény; az ott felsorolt tíz intézkedés funkcionalitás alapján van megfogalmazva, többek között az f pont (hozzáférési szabályzat) és a h pont (titkosítás) alatt. Az az ügyfél, aki kifejezetten VPN-re kérdez, ezt a funkcionális követelményt általában egy konkrét technikára fordítja — gyakran azért, mert saját kérdőívének formátuma így diktálja, nem azért, mert a törvény ezt a szót használja.

Ha az alkalmazottak VPN-en keresztül távolról dolgoznak, az alátámasztás általában a hozzáférési szabályzat egy részlete, amelyben a VPN a külső hozzáférés előfeltétele, szükség esetén kiegészítve egy konfigurációs áttekintéssel vagy a felügyeleti konzol egy képernyőképével. Ha ez a dokumentum hiányzik, akkor az "nem" egy rövid magyarázattal (például: a távolról történő hozzáférés egy másik kontrollált módszeren keresztül működik) jobb, mint egy VPN-válasz forrás nélkül — a dossziéban csak az szerepel, amit alá lehet támasztani, és kétség esetén a mező nyitva marad a saját kitöltésre. Ez összhangban van a a hozzáférési szabályzattal és az üzleti eszközök kezelésévelhelyzettel, ahol a VPN tipikusan az egyik ellenőrzés a jelszószabályzat és az eszközkezelés mellett.

Ennek forrása: A melléklet és 21. cikk (2) bekezdés

Az ISO/IEC 27001 Annex A a hálózatbiztonságot és a kriptográfiai intézkedéseket említi az ellenőrzési intézkedések között, de ott sincs a VPN név szerint — ez egy implementációs választás egy szélesebb kontroll alatt. Aki már ISO 27001 tanúsítvánnyal rendelkezik, általában az Alkalmazhatósági Nyilatkozat alapján hivatkozhat erre a kérdésre, ahelyett hogy külön VPN-bizonyítékot keresne; lásd azt, amit egy ISO 27001-tanúsítvány felölel és mit nem. Azoknak a vállalatoknak, amelyek a Kiberbiztonsági törvény hatálya alá fognak esni a törvény 2026. augusztus 15-i hatálybalépésekor, ugyanaz a funkcionális megfogalmazás vonatkozik a NIS2-átültetésből — a törvény a célt írja elő, nem az eszközt.