kund frågar hur vi säkrar hemarbete, vad fyller jag i där

Distansarbete omfattas av åtkomstpolicy, inte av en separat åtgärd

Det finns ingen separat punkt för "distansarbete" i artikel 21 punkt 2 NIS2 eller i Annex A i ISO 27001. Frågan täcks i praktiken av en kombination: åtkomstpolicy och hantering av företagstillgångar, flerfaktorsautentisering och eventuell kryptering för data som lämnar företagsnätverket. När din kund frågar "hur skyddar ni distansarbete" är det vanligtvis en förkortad version av: hur reglerar du åtkomst till företagssystem från en plats utanför kontoret, och på vilken enhet.

Konkret söker bedömaren efter tre saker. Ett: är åtkomsten till system och data hemifrån bunden till ett hanterat konto, med åtkomstpolicy och hantering av företagstillgångar som fastställt dokument. Två: är flerfaktorsautentisering obligatorisk för denna åtkomst — utan MFA är "ja, skyddat" vanligtvis inte ett hållbart svar, se flerfaktorsautentisering för företagssystem. Tre: finns det kryptering på enheten eller anslutningen (VPN, diskskryptering) om känslig data lagras lokalt. Om du inte har MFA eller ingen VPN-kravspecifikation, svara då med "nej" eller "delvis" — ett föreslagit "ja" utan underliggande policy är inget bevisstöd, det är en gissning, och den gissningen kommer tillbaka i revisionen.

Bevisstöd är policysdokumentet, inte en skärmbild

Det bevis som vanligtvis efterfrågas är åtkomstpolicyn själv (med avsnittet om externt arbete eller fjärråtkomst) plus en export från identitetsleverantören som visar MFA-tvingande. En skärmbild av en enskild bärbar dator är ingen garanti för processen. Under cybersäkerhetslagen — den nederländska implementeringen som träder i kraft den 15 augusti 2026 — kommer samma krav tillbaka via de tio åtgärderna i artikel 21 punkt 2 NIS2; den som redan har åtkomstpolicy och MFA i ordning har redan en fördel när det gäller denna skyldighet. För övrigt är detta skilt från frågan om din egen organisation själv omfattas av direktivet som enhet under NIS2 eller den nationella implementeringen — det avgör om du måste, inte vad du fyller i här.