cómo relleno la pregunta sobre VPN y acceso remoto seguro

La pregunta va más allá de solo VPN

Una VPN es una técnica, pero la pregunta en sí trata sobre la seguridad del acceso remoto en general. Esto se incluye en el punto (i) de las diez medidas en el artículo 21, apartado 2, de la Directiva NIS2: seguridad del personal, política de acceso y gestión de activos empresariales. Un cliente que pregunta por "acceso remoto seguro" generalmente quiere saber si existe una VPN o una conexión encriptada similar, si la autenticación multifactor es obligatoria, y si el acceso se limita a lo que alguien necesita para su función. Por lo tanto, no respondas solo "sí, utilizamos VPN" — añade si es obligatorio para todo acceso externo, y si tiene un límite de tiempo o cierre de sesión automático.

Si no tienes VPN pero sí otro mecanismo — una solución de confianza cero, una puerta de enlace con autenticación por certificado, un entorno en la nube sin red local — entonces "no" a la pregunta literal de VPN no es incorrecto, pero sí es incompleto. En ese caso, describe qué se utiliza en realidad, porque el portal de tu cliente pregunta en realidad por el objetivo (acceso encriptado y controlado), no por el producto específico. Si falta la autenticación multifactor en el acceso remoto, es una pregunta separada que a menudo aparece por separado en la lista, véase se utiliza autenticación multifactor para el acceso a los sistemas empresariales. Si no has documentado quién puede iniciar sesión de forma remota y con qué derechos, esto también afecta a la pregunta más amplia sobre política de acceso, véase se ha fijado la política de acceso, incluida la gestión de activos empresariales.

Dónde aparece en la directiva y la norma

El artículo 21, apartado 2, letra i) de la Directiva (UE) 2022/2555 menciona la seguridad del personal, la política de acceso y la gestión de activos empresariales como una de las diez medidas obligatorias; el acceso remoto entra en este ámbito. La ISO/IEC 27001 Anexo A lo desarrolla más con medidas de control específicas para la seguridad del acceso y la seguridad de la red, donde el uso de VPN normalmente se documenta. La Ley de Ciberseguridad, la transposición holandesa de NIS2, entra en vigor el 15 de agosto de 2026 e establece las mismas diez medidas para las entidades cubiertas por la ley.