chestionarul întreabă despre politica noastră privind dispozitivele mobile și laptopurile

Politica pentru dispozitivele mobile face parte din managementul activelor și controlul accesului

Această întrebare se încadrează în articolul 21 alineatul 2 litera d și i din Directiva NIS2: securitatea în achiziție, dezvoltare și întreținere, și politica de control al accesului inclusiv active de afaceri. Laptopurile și telefoanele sunt "active" — mijloace de afaceri pe care se găsesc date de afaceri sau prin care există acces la sisteme. Clientul dorește deci să știe dacă există o politică scrisă care reglementează: cine poate utiliza ce dispozitiv, cum este acesta criptat, ce se întâmplă în caz de pierdere sau furt, și dacă utilizarea privată a dispozitivelor de afaceri (sau invers, BYOD) este permisă și în ce condiții.

Dacă nu există un document separat "mobile device policy", aceasta nu este neapărat o problemă — verificați dacă elementele esențiale se află deja undeva: în politica de acces inclusiv resursele companiei, într-o declarație ISO 27001 la Anexa A (asset management și mobile device policy se găsesc acolo ca măsuri de control), sau într-un manual IT. Dacă lipsește complet, atunci "nu" este răspunsul onest — o politică scrisă este ceva diferit de practica neîngrijită fără documentare. Criptarea dispozitivelor în sine se încadrează și aici; aceasta se suprapune cu întrebarea privind criptografie și criptare, și este util să știi care răspuns a fost deja dat acolo, pentru ca cele două să nu se contrazică.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 menționează sub i "securitatea personalului, politica de acces și managementul activelor" ca una dintre cele zece măsuri obligatorii; dispozitivele mobile se încadrează în aceasta din urmă. ISO/IEC 27001 dezvoltă acest lucru mai departe în Anexa A, cu măsuri de control specifice pentru "mobile devices" și "asset management" — o organizație cu un certificat ISO 27001 are de obicei această componentă deja documentată. Legea de securitate cibernetică transpune această obligație în dreptul național al Olandei și intră în vigoare pe 15 august 2026; până la acea dată, directiva însăși este punctul de referință, nu legea națională.