Ich verstehe eine technische Frage aus dem Fragebogen nicht, wer kann das beantworten

Reduzieren Sie die Frage auf eine der zehn Maßnahmen

Eine technische Frage aus einem Fragebogen ist fast immer eine Übersetzung einer der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2 oder einer Managementmaßnahme aus Anlage A der ISO/IEC 27001. Das Kundenportal verwendet häufig eine eigene Formulierung – "wie ist Ihre Netzwerksegmentierung gestaltet" oder "welchen Verschlüsselungsstandard verwenden Sie für ruhende Daten" – aber die zugrunde liegende Frage ist bekannt. Es lohnt sich, zuerst zu bestimmen, unter welche Kategorie die Frage fällt: geht es um Zugriff, um Verschlüsselung, um Schwachstellen oder um die Lieferkette. Sobald diese Kategorie feststeht, ist die Frage in der Regel mit vorhandener Dokumentation zu beantworten, auch wenn der exakte Begriff neu ist.

Im Falle von Zweifeln über die genaue technische Umsetzung – welches Protokoll, welche Schlüssellänge, welche Scan-Häufigkeit – ist die IT-Abteilung oder der externe Verwalter die richtige Ansprechperson, nicht der kommerzielle oder juristische Kontakt, der die Liste erhält. Wer regelmäßig auf die gleichen technischen Fragen zur Verschlüsselung trifft, kann dies als Standardantwort zum Thema festhalten ob eine Richtlinie für Kryptografie und Verschlüsselung vorhanden ist, damit diese Frage nicht jedes Mal neu geklärt werden muss. Das Gleiche gilt für Fragen zur mehrstufigen Authentifizierung oder zur Zugriffskontrolle: das sind einzelne Fragen in der Liste, aber inhaltlich das gleiche Thema immer wieder neu formuliert.

Woher die zehn Maßnahmen stammen

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt zehn Kategorien von Maßnahmen, von der Risikoanalyse bis zur Kryptografie bis zum menschlichen Verhalten innerhalb der Organisation. Anlage A der ISO/IEC 27001 arbeitet ähnliche Themen in konkreten Managementmaßnahmen weiter aus, was erklärt, warum eine Audit-Frage und eine Kundenfrage oft auf das Gleiche hinauslaufen, auch wenn die Formulierungen unterschiedlich sind. Das Cyber-Sicherheitsgesetz setzt Artikel 21 in deutsches Recht um und tritt voraussichtlich am 15. August 2026 in Kraft; bis dahin ist die Richtlinie selbst der Ausgangspunkt für diejenigen, die überprüfen möchten, unter welche Maßnahme eine Frage fällt.