cliente pergunta como protegemos o trabalho remoto, o que preencho ali

O trabalho remoto está incluído na política de acesso, não numa medida separada

Não existe um ponto separado "trabalho remoto" no artigo 21.º n.º 2 da NIS2 ou no Anexo A da ISO 27001. A questão é coberta na prática por uma combinação: política de acesso e gestão de ativos empresariais, autenticação multifator e, eventualmente, criptografia para dados que saem da rede empresarial. Quando o seu cliente pergunta "como protegem o trabalho remoto", trata-se geralmente de uma versão abreviada de: como regulam o acesso aos sistemas empresariais a partir de uma localização fora do escritório e em que dispositivo.

Concretamente, o avaliador procura três coisas. Um: o acesso a sistemas e dados a partir de casa está vinculado a uma conta gerida, a política de acesso e a gestão de ativos como documento consignado. Dois: a autenticação multifator é obrigatória para esse acesso — sem MFA, "sim, seguro" geralmente não é uma resposta sustentável, ver autenticação multifator para sistemas empresariais. Três: existe encriptação no dispositivo ou na ligação (VPN, encriptação de disco) se dados sensíveis forem armazenados localmente. Se não tem MFA ou nenhuma obrigação de VPN, responda então com "não" ou "parcialmente" — um "sim" sugerido sem política subjacente não é um documento comprovativo, é um palpite, e esse palpite volta na auditoria.

O documento comprovativo é a política, não uma captura de ecrã

A prova que é geralmente pedida é a própria política de acesso (com a passagem sobre trabalho externo ou acesso remoto) mais uma exportação do fornecedor de identidade que demonstre a aplicação de MFA. Uma captura de ecrã de um único portátil não é prova do processo. De acordo com a Lei de Cibersegurança — a transposição holandesa que entra em vigor em 15 de agosto de 2026 — o mesmo requisito volta através das dez medidas do artigo 21.º n.º 2 da NIS2; quem já tiver a política de acesso e MFA em ordem agora tem também uma vantagem nesta obrigação. De resto, isto é separado da questão de saber se a sua própria empresa está incluída na diretiva como entidade sob a NIS2 ou a transposição nacional — isso determina se tem de estar em conformidade, não o que preenche aqui.