enkäten frågar om medarbetare arbetar via VPN, hur underbygger jag det

VPN är en teknisk åtgärd, inte en separat åtgärdstyp

VPN faller under åtkomstskydd och kryptering av kommunikation, inte under en egen kategori. I artikel 21 stycke 2 i NIS2-direktivet finns ingen bokstavlig VPN-föreskrift; de tio åtgärderna där är formulerade funktionellt, bland annat under f (åtkomstpolicy) och h (kryptering). En kund som specifikt efterfrågar VPN översätter vanligtvis denna funktionella föreskrift till en konkret teknik — ofta därför att sitt eget enkätformat föreskriver det, inte för att lagen använder det ordet.

Om anställda arbetar på distans via VPN är motiveringen vanligtvis ett avsnitt från åtkomstpolicyn där VPN är en förutsättning för fjärråtkomst, eventuellt kompletterat med en konfigurationsöversikt eller en skärmdump från administrationskonsolen. Saknas det dokumentet är "nej" med en kort förklaring (till exempel: fjärråtkomst går genom en annan kontrollerad metod) bättre än ett VPN-svar utan källa — dossieren registrerar endast vad som kan motiveras, och vid osäkerhet lämnas fältet öppet för egen ifyllnad. Detta stämmer överens med åtkomstpolicy och hantering av företagstillgångardär VPN typiskt är en av de nämnda kontrollerna tillsammans med lösenordspolicy och enhetshantering.

Varifrån detta kommer: Annex A och artikel 21 stycke 2

ISO/IEC 27001 Annex A nämner nätverkssäkerhet och kryptografiska åtgärder som kontrollåtgärder, men även där nämns VPN inte vid namn — det är ett genomförandeval under en bredare kontroll. Den som redan är ISO 27001-certifierad kan vanligtvis för denna fråga hänvisa till Statement of Applicability i stället för att leta efter ett separat VPN-bevis; se vad ett ISO 27001-certifikat täcker och inte täcker. För företag som själva kommer att omfattas av cybersäkerhetslagens tillämpningsområde när den träder i kraft den 15 augusti 2026 gäller samma funktionella formulering från NIS2-omvandlingen — lagen föreskriver målet, inte medlet.