Der Fragebogen fragt, wie wir Homeoffice und Remote-Zugriff schützen

Fernzugriff fällt unter Zugriffskontrollrichtlinie und MFA

Die Frage zu Homeoffice und Fernzugriff ist in der Regel eine Kombination aus zwei der zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2: Punkt (i), Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen, und Punkt (j), die Verwendung von Mehfaktor-Authentifizierung. Kunden, die dies getrennt abfragen, möchten wissen, wie ein Mitarbeiter von einem privaten Netzwerk oder einem eigenen Laptop aus Zugriff auf Unternehmenssysteme erhält und welche Hürden damit verbunden sind. Eine VPN-Verbindung allein ist keine Antwort auf diese Frage — es geht um die Kombination aus verschlüsselter Verbindung, Authentifizierung und Geräteverwaltung.

Ein konkreter Nachweis besteht in der Regel aus drei Komponenten: eine VPN- oder Zero-Trust-Konfiguration mit Verschlüsselung, eine MFA-Anforderung, die auch für externen Zugriff gilt (nicht nur für das Unternehmensnetzwerk), und eine Übersicht darüber, welche Geräte Zugriff erhalten dürfen — privat oder geschäftlich. Wenn eine Mobile-Device-Management-Lösung läuft, ist das ein starkes Beweismittel. Fehlt diese, ist die Antwort häufig "nein" zum Punkt Geräteverwaltung, auch wenn MFA vorhanden ist. Füllen Sie dann für jeden Punkt separat aus, was geregelt ist und was nicht, statt ein zusammengefasstes "ja" oder "nein" — das vermeidet ein ungerechtfertigtes "nein" auf eine Frage, die eigentlich zur Hälfte zutrifft. Falls die Verschlüsselung des Verkehrs selbst Gegenstand der Frage ist, gehört das eher zu die Richtlinie zur Kryptografie und Verschlüsselung als zu Zugriff. Im Zweifelsfall prüfen Sie auch, ob die Frage tatsächlich über die Zugriffskontrollrichtlinie einschließlich der Verwaltung von Betriebsmitteln geht — oft handelt es sich nämlich um zwei separate Unterfragen in einer Zeile verpackt.

Wo dies steht: Artikel 21 Absatz 2, Punkte i und j

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen als Punkt (i) und die Verwendung von Mehfaktor-Authentifizierung oder kontinuierlicher Authentifizierung als Punkt (j) neben Verschlüsselung als Punkt (h). ISO/IEC 27001 Anlage A konkretisiert dies in den Schutzmaßnahmen zur Zugriffskontrolle und zu Geräten außerhalb der Unternehmensgelände. Das Cybersicherheitsgesetz übernimmt diese Gliederung, sobald es nach dem 15. August 2026 in Kraft tritt, daher ändert sich die Struktur der Frage dann nicht — wohl aber wer dazu antworten muss.