wir haben kein formelles Sicherheitskonzept, darf ich trotzdem Ja in der Fragensammlung antworten

Nein, nicht ohne ein Dokument, das die Richtlinie nachweist

Nein, "ja" kann hier nicht eingegeben werden, auch nicht wenn die Praxis größtenteils in Ordnung ist. Die Frage nach einer Sicherheitsrichtlinie fragt nicht, ob Sie sicher arbeiten, sondern ob dies dokumentiert ist: ein Dokument darüber, wer wofür verantwortlich ist, welche Maßnahmen gelten und wie oft diese überprüft werden. Ohne ein solches Dokument gibt es nichts zu zeigen bei "ja", wenn der Kunde nachfragt oder ein Auditor es anfordert. Supplia schlägt kein ja vor, wenn die Lieferkettendatei keine Quelldatei hat — und das gilt hier uneingeschränkt, auch wenn die Frage selbst für einen erfahrenen Ausfüller erkennbar ist.

Was meistens wohl kann: "ja, informell" oder "nein, in Entwicklung" mit einer kurzen Erläuterung, plus Verweis auf das, was tatsächlich dokumentiert ist — eine Zugangsrichtlinie, ein Incidentverfahren, ein Lieferantenvertrag mit Sicherheitsanforderungen. Viele Kunden schätzen diese Ehrlichkeit mehr als ein "ja", das bei der Überprüfung nicht standhält. Liegt etwas vor, aber kein zentrales Dokument, ist es oft überzeugender, auf die einzelnen Komponenten zu verweisen: der Zugriffsrichtlinie und Verwaltung von Unternehmensmitteln, das Verfahren für Sicherheitsvorfälleund die Richtlinie zu Schwachstellen. Zusammen bilden diese oft bereits den Kern dessen, was die Frage eigentlich meint, auch ohne dass es "Sicherheitsrichtlinie" heißt.

Wo dies aus den zehn Maßnahmen folgt

Die Richtlinie zur Festlegung von Maßnahmen für ein hohes Sicherheitsniveau von Netzen und Informationssystemen in der Union ist die erste der zehn Maßnahmen in Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) — siehe auch was ein Kunde mit Risikoanalyse meint. Wer unter das Gesetz über Cybersicherheit fällt, muss dies nachweisen können, sobald dieses Gesetz in Kraft tritt. ISO/IEC 27001 verlangt in Annex A ebenfalls festgelegte Richtlinien als separate Kontrollmaßnahme, unabhängig davon, ob das Unternehmen selbst zertifiziert ist.