il cliente chiede come proteggiamo il lavoro da casa, cosa compilo lì

Il lavoro da casa rientra nella politica di accesso, non in una misura separata

Non esiste un punto separato "lavoro da casa" nell'articolo 21 paragrafo 2 NIS2 o nell'Allegato A dello standard ISO 27001. La domanda è coperta nella pratica da una combinazione: politica di accesso e gestione delle risorse aziendali, autenticazione a più fattori, e eventualmente crittografia per i dati che lasciano la rete aziendale. Quando il tuo cliente chiede "come proteggete il lavoro da casa", di solito si tratta di una versione abbreviata di: come gestite l'accesso ai sistemi aziendali da una posizione al di fuori dell'ufficio, e su quale dispositivo.

Concretamente, il revisore cerca tre cose. Primo: l'accesso ai sistemi e ai dati da casa è vincolato a un account gestito, con la politica di accesso e la gestione dei beni aziendali come documento acquisito. Secondo: è obbligatoria l'autenticazione a più fattori per tale accesso — senza MFA, "sì, protetto" di solito non è una risposta sostenibile, vedi autenticazione a più fattori per i sistemi aziendali. Terzo: esiste crittografia sul dispositivo o sulla connessione (VPN, crittografia del disco) se i dati sensibili vengono archiviati localmente. Se non hai MFA o nessun obbligo VPN, rispondi allora con "no" o "parzialmente" — un "sì" proposto senza una politica sottostante non è una prova, è un'ipotesi, e quell'ipotesi riappare nell'audit.

La prova è il documento di politica, non una schermata

La prova che di solito viene richiesta è la stessa politica di accesso (con il passaggio sul lavoro esterno o l'accesso remoto) più un'esportazione dal provider di identità che dimostri l'imposizione di MFA. Una schermata di un unico laptop non è una prova del processo. Secondo la Legge sulla sicurezza informatica — l'attuazione olandese che entra in vigore il 15 agosto 2026 — lo stesso requisito si ripete attraverso le dieci misure dell'articolo 21 paragrafo 2 NIS2; chi già ha una politica di accesso e MFA in ordine, ha già un vantaggio su questo obbligo. D'altra parte, questo è separato dalla questione se la tua stessa organizzazione rientra nella direttiva come entità secondo la NIS2 o l'attuazione nazionale — questo determina se devi farlo, non cosa inserisci qui.