lista de întrebări cere politică pentru dispozitivele mobile și laptopurile angajaților

Politica de dispozitive mobile se încadrează sub controlul accesului și gestionarea activelor

Această întrebare face parte din articolul 21 alineatul 2 litera i din NIS2: politică de control al accesului, inclusiv gestionarea activelor corporative ("asset management"). Telefoanele și laptopurile sunt active corporative care deschid accesul la date în afara rețelei de birou, iar clientul dorește să știe dacă există control asupra acestora. În practică, lista de verificare se așteaptă să răspundă la câteva puncte fixe: există un registru al dispozitivelor emise, este obligatorie criptarea stocării, există o cerință de cod PIN minim sau biometrie, și poate un dispozitiv pierdut sau furat fi șters de la distanță (MDM — mobile device management). De asemenea, BYOD (bring your own device, dispozitive proprii ale angajaților) apare adesea separat, deoarece prezintă un risc diferit decât dispozitivele corporative.

Dacă această politică nu este încă documentată dar practica este în ordine — criptarea este activată implicit, accesul se face printr-un cont cu autentificare multifactor — atunci "nu, încă nicio politică documentată" este răspunsul sincer, cu eventualreprezentare asupra măsurilor efective. Nu spuneți "da" la o întrebare despre o soluție MDM dacă aceasta nu există; un client care apoi mai întreabă despre registrul dispozitivelor sau procesul de incident în caz de pierdere, va fi lipsit de justificare. Pierderea sau furtul unui dispozitiv afectează de altfel și procedurii pentru incidente de securitate, deci aceste două răspunsuri trebuie să fie coerente.

Unde se află: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 litera i din Directiva (UE) 2022/2555 menționează politica privind controlul accesului și gestionarea activelor corporative ca una dintre cele zece măsuri obligatorii. ISO/IEC 27001 o dezvoltă în continuare în Anexa A, sub măsurile de control pentru "endpoint devices" și echipamente mobile; cei care sunt deja certificați ISO 27001 au de obicei această parte deja documentată. Legea neerlandeză de securitate cibernetică, care transpune NIS2 și intră în vigoare la 15 august 2026, urmează aceeași structură în zece măsuri.