選択肢A は NLB がターゲットをインスタンス ID で登録した場合、クライアントの送信元 IP アドレスをそのまま保持して EC2 に転送します（クライアント IP 保持）。そのため EC2 インスタンスのセキュリティグループが受け取るトラフィックの送信元は顧客のオフィス IP になるため、顧客オフィス IP からのインバウンドを許可する必要があります。
選択肢B は ALB の挙動（送信元が ALB の IP に変換される）と混同している考え方です。インスタンス ID 登録の NLB では送信元は顧客 IP のままであるため、NLB サブネットを許可しても効果がありません。
選択肢C と D は問題文に「NLB にセキュリティグループが関連付けられていない」と明記されており、確認・設定自体が不可能です。