Kunde fragt, wie wir den Zugriff für externe Lieferanten oder Freelancer regeln

Zugang für Dritte fällt unter Zugangsrichtlinie, nicht unter Lieferkettenmanagement

Diese Frage gehört zu der Zugangsrichtlinie des Unternehmens, nicht zu den Fragen über die Lieferanten selbst. Der Kunde möchte wissen, wie du verhinderst, dass ein Freiberufler oder externe Partei mehr Rechte erhält als nötig, und wie du diesen Zugang widerrufst, sobald die Arbeit abgeschlossen ist. Unterscheide das selbst auch: eine Frage über die Sicherheitsanforderungen, die du an externe Parteien stellst, bezieht sich auf Lieferkettenmanagement, eine Frage über die Art und Weise, wie diese Parteien selbst sich auf deine Systeme einloggen, bezieht sich auf Zugang. Fragebögen vermischen dies oft, aber es sind zwei verschiedene Maßnahmen aus Artikel 21 Absatz 2 NIS2 und zwei verschiedene Annex-A-Kapitel in ISO 27001.

Was konkret gefragt wird: Hast du ein Verfahren für die Gewährung, Änderung und den Widerruf von Zugang (Onboarding und Offboarding), arbeitest du mit befristeten oder abgelaufenen Konten für externe Parteien, und gilt das Prinzip der minimalen Berechtigung — Zugang nur zu dem, was nötig ist, nicht zum gesamten Netz. Wenn externe Parteien Fernzugriff erhalten, wird oft auch gefragt, ob dabei Mehrstufenauthentifizierung erforderlich ist. Wenn du keine separate Richtlinie für externe Parteien hast, sondern dich auf allgemeines Zugangsmanagement stützt, bei dem keine Unterscheidung zwischen eigenen Mitarbeitern und Dritten getroffen wird, dann ist "nein" die ehrliche Antwort — ein gemeinsames Passwort oder ein weiterhin aktives Konto nach Abschluss eines Auftrags zählt nicht als verwalteter Zugang.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 NIS2 nennt Zugangsschutzrichtlinien und Personalsicherheit als zwei der zehn erforderlichen Maßnahmen; ISO 27001 entwickelt dies in Annex A unter Zugriffskontrolle weiter, mit besonderer Aufmerksamkeit für Zugang durch Dritte und dessen Widerruf bei Beendigung des Vertrags.