vragenlijst vraagt of medewerkers via VPN werken, hoe onderbouw ik dat

VPN is een technische maatregel, geen apart maatregel-type

VPN valt onder toegangsbeveiliging en versleuteling van communicatie, niet onder een eigen categorie. In artikel 21 lid 2 van de NIS2-richtlijn staat geen letterlijke VPN-eis; de tien maatregelen daar zijn functioneel geformuleerd, onder meer onder f (toegangsbeleid) en h (versleuteling). Een klant die specifiek naar VPN vraagt, vertaalt die functionele eis meestal naar één concrete techniek — vaak omdat zijn eigen vragenlijst-format dat zo dicteert, niet omdat de wet dat woord gebruikt.

Als medewerkers via VPN op afstand werken, is de onderbouwing meestal een stuk uit het toegangsbeleid waarin VPN als vereiste voor externe toegang staat, eventueel aangevuld met een configuratie-overzicht of een screenshot uit de beheerconsole. Ontbreekt dat document, dan is "nee" met een korte toelichting (bijvoorbeeld: toegang op afstand loopt via een andere gecontroleerde methode) beter dan een VPN-antwoord zonder bron — het dossier vult alleen in wat het kan onderbouwen, en bij twijfel blijft het veld open voor eigen invulling. Dit sluit aan bij het toegangsbeleid en beheer van bedrijfsmiddelen, waar VPN typisch een van de genoemde controles is naast wachtwoordbeleid en apparaatbeheer.

Waar dit vandaan komt: Annex A en artikel 21 lid 2

ISO/IEC 27001 Annex A noemt netwerkbeveiliging en cryptografische maatregelen als beheersmaatregelen, maar ook daar staat VPN niet met naam — het is een implementatiekeuze onder een bredere control. Wie al ISO 27001-gecertificeerd is, kan voor deze vraag doorgaans verwijzen naar het Statement of Applicability in plaats van een los VPN-bewijs te zoeken; zie wat een ISO 27001-certificaat wel en niet dekt. Voor bedrijven die zelf onder de Cyberbeveiligingswet gaan vallen zodra die op 15 augustus 2026 in werking treedt, geldt dezelfde functionele formulering uit de NIS2-omzetting — de wet schrijft het doel voor, niet het middel.