cliente pergunta como protegemos o trabalho remoto e BYOD o que devo preencher

Trabalho remoto e BYOD enquadram-se na política de acesso e criptografia

Esta questão geralmente não vem como uma parte separada, mas como um desdobramento de dois dos dez requisitos do artigo 21.º, n.º 2 da NIS2: política de acesso (alínea i) e criptografia (alínea h). O cliente quer saber como evita que um telefone pessoal ou laptop de casa se torne uma vulnerabilidade para os sistemas da empresa. Preencha com o que realmente tem: MDM (gestão de dispositivos móveis) em dispositivos BYOD, encriptação de disco obrigatória, um requisito VPN para acesso remoto e perfis separados para trabalho e uso pessoal. Se não tem MDM mas tem uma restrição técnica — por exemplo, dados comerciais acessíveis apenas através de um portal de navegador sem armazenamento local — então é uma resposta válida, não uma solução de emergência.

Se uma política BYOD está completamente ausente, ou seja, sem qualquer separação técnica ou organizacional entre pessoal e trabalho, então "não" é a resposta correta. Uma lista sem regulação BYOD não é automaticamente um problema: no Anexo A da ISO/IEC 27001 enquadra-se nas medidas de controlo para endpoints e acesso, e muitas empresas mitigam o risco permitindo trabalho remoto apenas em dispositivos comerciais — nesse caso não há nada sobre BYOD a confirmar, mas há a política de acesso e a gestão de ativosVerifique também se está documentado algo sobre autenticação multifator no acesso aos sistemas da empresa, pois esta questão aparece frequentemente no mesmo bloco e pode ser respondida de forma contraditória se tratada duas vezes.

Onde exatamente está isto: artigo 21.º, n.º 2, alíneas h e i

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 refere na alínea h a política sobre criptografia e encriptação, e na alínea i a segurança do pessoal, política de acesso e gestão dos ativos da empresa — incluindo o equipamento através do qual os colaboradores têm acesso, portanto também telefones pessoais e laptops de trabalho remoto. Na Lei de Cibersegurança, a transposição neerlandesa desta diretiva, surgem os mesmos dez requisitos; a lei entra em vigor em 15 de agosto de 2026. A ISO/IEC 27001 Anexo A desenvolve isto posteriormente em medidas de controlo separadas para equipamento endpoint, teletrabalho e controlo de acesso, o que explica por que razão os clientes por vezes formulam isto como uma pergunta e outras vezes como três perguntas separadas.