como preencho a pergunta sobre VPN e acesso seguro remoto

A questão vai além apenas da VPN

Uma VPN é uma técnica, mas a questão em si diz respeito à protecção do acesso remoto como um todo. Isso se enquadra no ponto (i) das dez medidas no artigo 21.º, n.º 2 da Diretiva NIS2: segurança do pessoal, política de acesso e gestão de ativos empresariais. Um cliente que pergunta sobre "acesso remoto protegido" geralmente quer saber se existe uma VPN ou ligação encriptada comparável, se a autenticação multifator é obrigatória e se o acesso é limitado ao necessário para a sua função. Portanto, não responda apenas "sim, usamos VPN" — acrescente se isso é obrigatório para todo o acesso externo e se tem um limite de tempo ou logout automático.

Se não tem VPN mas tem outro mecanismo — uma solução zero-trust, um gateway com autenticação por certificado, um ambiente cloud sem rede local — então "não" à questão literal sobre VPN não é errado, mas é incompleto. Nesse caso, descreva o que é utilizado, pois o portal do seu cliente está realmente a perguntar sobre o objetivo (acesso encriptado e controlado), não sobre o produto específico. Se falta autenticação multifator no acesso remoto, é normalmente uma questão separada que surge novamente na lista, ver é utilizada autenticação multifator para acesso aos sistemas empresariais. Se não documentou quem pode fazer login remoto e com que direitos, isso também afeta a questão mais ampla sobre política de acesso, ver a política de acesso está estabelecida, incluindo a gestão de activos empresariais.

Onde consta na directiva e na norma

O artigo 21.º, n.º 2, alínea i) da Diretiva (UE) 2022/2555 menciona a segurança do pessoal, política de acesso e gestão de ativos empresariais como uma das dez medidas obrigatórias; o acesso remoto enquadra-se nesta categoria. A norma ISO/IEC 27001 Anexo A desenvolve isto com medidas de controlo específicas para protecção de acesso e segurança de rede, onde a utilização de VPN é normalmente documentada. A Lei de Segurança Cibernética, a implementação holandesa da NIS2, entra em vigor em 15 de agosto de 2026 e estabelece as mesmas dez medidas para entidades abrangidas pela lei.