a lista de questões pergunta sobre política para dispositivos móveis e laptops de colaboradores

Política de dispositivos móveis enquadra-se em controlos de acesso e ativos

Esta pergunta enquadra-se no artigo 21.º, n.º 2, alínea i) da NIS2: política para controlos de acesso, incluindo gestão de ativos ("asset management"). Telefones e laptops são ativos que disponibilizam dados fora da rede do escritório, e o cliente quer saber se há controlo sobre isso. Na prática, o questionário espera resposta sobre alguns pontos fixos: existe um registo de dispositivos distribuídos, é obrigatória a encriptação do armazenamento, existe um requisito mínimo de PIN ou biometria, e pode um dispositivo perdido ou roubado ser apagado remotamente (MDM — mobile device management). BYOD (bring your own device, dispositivos pessoais de colaboradores) também aparece frequentemente separado, porque apresenta um risco diferente do dos dispositivos da empresa.

Se esta política ainda não está documentada mas a prática está em ordem — a encriptação está ativada por defeito, o acesso funciona através de uma conta com autenticação multifator — então "não, ainda sem política documentada" é a resposta honesta, com eventualmente uma explicação sobre as medidas reais em vigor. Não diga "sim" a uma pergunta sobre uma solução MDM se esta não existe; um cliente que depois questione sobre o registo de dispositivos ou o processo de incidente em caso de perda, fica assim sem fundamentação. A perda ou roubo de um dispositivo também afeta o procedimento para incidentes de segurança, portanto estas duas respostas devem ser coerentes uma com a outra.

Onde isto se encontra: artigo 21.º, n.º 2) e Anexo A

O artigo 21.º, n.º 2), alínea i) da Diretiva (UE) 2022/2555 menciona a política de controlos de acesso e gestão de ativos como uma das dez medidas obrigatórias. A ISO/IEC 27001 desenvolve-a ainda no Anexo A, sob as medidas de controlo para "endpoint devices" e equipamento móvel; quem já tem certificação ISO 27001 tem normalmente este ponto já documentado. A Lei de Cibersegurança holandesa, que transpõe a NIS2 e entra em vigor em 15 de agosto de 2026, segue a mesma divisão em dez medidas.