il cliente chiede come proteggiamo i dispositivi mobili del personale

La gestione dei dispositivi mobili rientra nell'accesso e nelle risorse aziendali

Questa domanda è correlata agli articoli 21, paragrafo 2, lettere d) e i) della NIS2: sicurezza nell'acquisizione, sviluppo e manutenzione, nonché controllo dell'accesso inclusa la gestione delle risorse aziendali. I telefoni e i tablet sono risorse aziendali ("assets") nel momento in cui possono accedere ai dati aziendali — posta elettronica, sistemi clienti, unità condivise. Il cliente vuole sapere se tali dispositivi sono in uno stato gestibile: sono registrati, è richiesta una password o un codice PIN, è possibile cancellare da remoto un dispositivo perso, la crittografia è attivata.

Se è in funzione una soluzione MDM (Mobile Device Management) — Intune, Jamf, Google Endpoint Management o equivalente — allora questo è il documento di prova: una schermata del profilo dei criteri, oppure una descrizione delle regole configurate (codice PIN, crittografia, cancellazione remota, restrizioni delle app). Se manca MDM, la risposta non è automaticamente "no": molte piccole imprese lo gestiscono con una politica bring-your-device più una dichiarazione dell'utente sottoscritta. Descrivete invece quello che c'è, piuttosto che saltare la domanda. Questo argomento si sovrappone a la politica di accesso inclusa la gestione dei beni aziendali — se lì esistono già un registro delle risorse e una matrice di accesso, la gestione del mobile vi rientra logicamente e potete fare riferimento alla stessa fonte.

Senza MDM e senza criteri, "ancora da determinare" è l'etichetta corretta, non "no": molti clienti accettano un percorso di crescita, purché indichiate quello che c'è adesso e cosa arriverà ancora. Indicate anche se autenticazione multifattore è obbligatorio per l'accesso dai dispositivi mobili — spesso è una sottoquestione separata nella stessa lista ed è coperta dallo stesso controllo.

Dove questo ritorna in Annex A e nella legge

In ISO/IEC 27001 Annex A, i dispositivi mobili rientrano nelle misure di controllo per la gestione delle risorse aziendali e la sicurezza dell'accesso; chi è già certificato ISO di solito ha già questi documenti come parte della politica di accesso. La Legge sulla cibersicurezza sostituisce a partire dal 15 agosto 2026 le attuali norme di attuazione della NIS2 a livello nazionale, ma la classificazione di questa misura — secondo l'articolo 21, paragrafo 2 — non cambia.