il questionario chiede se i dipendenti lavorano tramite VPN, come lo motivo

La VPN è una misura tecnica, non un tipo di misura separato

La VPN rientra nella sicurezza dell'accesso e nella crittografia della comunicazione, non in una categoria propria. Nell'articolo 21, paragrafo 2, della direttiva NIS2 non è presente un requisito letterale di VPN; le dieci misure ivi indicate sono formulate in modo funzionale, tra cui la lettera f) (politica di accesso) e h) (crittografia). Un cliente che pone specifiche domande su VPN di solito traduce questo requisito funzionale in una tecnica concreta — spesso perché il suo stesso formato di questionario lo prevede, non perché la normativa utilizza questa parola.

Se i dipendenti lavorano da remoto tramite VPN, la documentazione di solito consiste in un estratto della politica di accesso in cui VPN è specificata come requisito per l'accesso esterno, eventualmente integrato con una panoramica della configurazione o una schermata della console di gestione. Se questo documento manca, allora "no" con una breve spiegazione (ad esempio: l'accesso remoto avviene attraverso un altro metodo controllato) è preferibile a una risposta su VPN senza fonte — il fascicolo include solo ciò che può documentare, e in caso di dubbio il campo rimane aperto per compilazione autonoma. Ciò è in linea con la politica di accesso e la gestione dei beni aziendali, dove la VPN è tipicamente uno dei controlli menzionati insieme alla politica delle password e alla gestione dei dispositivi.

Da dove viene: Annex A e articolo 21 comma 2

ISO/IEC 27001 Annex A menziona la sicurezza della rete e le misure crittografiche come controlli gestionali, ma nemmeno lì la VPN è citata per nome — è una scelta di implementazione nell'ambito di un controllo più ampio. Chi è già certificato ISO 27001 può generalmente fare riferimento alla Dichiarazione di applicabilità per questa domanda anziché cercare una prova VPN separata; vedere cosa copre e cosa non copre un certificato ISO 27001. Per le aziende che rientreranno nella Legge sulla cibersicurezza quando entrerà in vigore il 15 agosto 2026, vale la stessa formulazione funzionale della trasposizione NIS2 — la legge prescrive l'obiettivo, non lo strumento.