frågelistan frågar om policy för mobila enheter och laptops för anställda

Mobilenhetspolicy ingår under åtkomstkontroll och företagstillgångar

Denna fråga hör till artikel 21 stycke 2 punkt i i NIS2: policy för åtkomstkontroll, inklusive hantering av företagstillgångar ("asset management"). Telefoner och laptops är företagstillgångar som ger åtkomst till data utanför kontorsnätverket, och kunden vill veta om det finns kontroll över detta. I praktiken förväntar sig enkäten svar på några fasta punkter: finns det ett register över utdelade enheter, är kryptering av lagringen obligatorisk, finns det ett minimikrav på PIN-kod eller biometri, och kan en förlorad eller stulen enhet raderas på distans (MDM — mobile device management). BYOD (bring your own device, anställdas egna enheter) kommer också ofta separat upp, eftersom det utgör en annan risk än företagsenheter.

Om denna policy ännu inte är dokumenterad men praktiken är i ordning — kryptering är aktiverad som standard, åtkomst går via ett konto med flerfaktorsautentisering — är "nej, ingen fastställd policy ännu" det ärliga svaret, eventuellt med en förklaring om de faktiska åtgärderna. Säg inte "ja" på en fråga om en MDM-lösning om den inte finns; en kund som följer upp med frågor om enhetsregistret eller incidentprocessen vid förlust står då utan stöd. Förlust eller stöld av en enhet berör också proceduren för säkerhetsincidenter, så dessa två svar måste överensstämma.

Var detta står: artikel 21 stycke 2 och Bilaga A

Artikel 21 stycke 2 punkt i i Direktiv (EU) 2022/2555 nämner policy för åtkomstkontroll och hantering av företagstillgångar som en av tio obligatoriska åtgärder. ISO/IEC 27001 utvecklar detta vidare i Bilaga A, under kontrollmått för "endpoint devices" och mobil utrustning; den som redan är ISO 27001-certifierad har vanligtvis redan denna del dokumenterad. Den nederländska cybersäkerhetslagen, som omvandlar NIS2 och träder i kraft den 15 augusti 2026, följer samma indelning i tio åtgärder.