Können mehrere Mitarbeiter meines Unternehmens sich bei dem gleichen Konto anmelden

Mehrere Benutzer pro Konto sind die Norm, nicht die Ausnahme

Ja, das ist bei Supplia die vorgesehene Arbeitsweise. Ein Konto ist an ein Unternehmen gekoppelt, nicht an eine Person. Kollegen, die zu diesem Unternehmen gehören, melden sich jeweils mit ihrem eigenen Benutzernamen in derselben Kettenakte an. Das ist praktisch, weil die Daten in der Praxis aus verschiedenen Ecken kommen: jemand aus der Personalabteilung füllt die Anzahl der Mitarbeiter aus, jemand aus der Finanzbuchhaltung den Umsatz, und jemand aus der IT oder dem Compliance-Bereich die Fragen zur Informationssicherheit.

Wer genau berechtigt ist, bleibt der Regelung durch das Unternehmen selbst überlassen — Supplia schreibt dafür keine Rollenteilung vor. Es ist jedoch sinnvoll, intern abzusprechen, wer welchen Bereich verwaltet, besonders bei sensiblen Feldern. So kann der Vertraulichkeitsschalter pro Antwort von demjenigen gesetzt werden, der sich auskennt, ohne dass jeder bei jedem Detail dabei sein muss. Das funktioniert anders als beispielsweise die Frage, ob das Unternehmen ISO 9001-zertifiziert ist, wo normalerweise eine Person das Zertifikat verwaltet, aber ein Kollege die Antwort nur bestätigt, bevor sie an das Kundenportal geht.

Warum dies kein Sicherheitsrisiko an sich ist

Mehrere Konten in einer Kettenakte ist keine Abweichung von einer Sicherheitsnorm, solange Zugriff und Rollen verwaltet werden. Das ist genau das Thema von Annex A der ISO/IEC 27001: nicht die Frage, ob mehrere Menschen Zugriff haben, sondern wie dieser Zugriff gewährt, protokolliert und wieder entzogen wird. Ein Unternehmen, das diese Anlage als Referenz beim Ausfüllen von Fragen zur Zugriffskontrolle nutzt, kann die gleiche Logik für sein eigenes Supplia-Konto anwenden: Benutzer einzeln hinzufügen und entfernen, statt ein Passwort zu teilen. Dies ist auch konsistent mit Artikel 21 Absatz 2 der NIS2-Richtlinie, wo Zugriffskontrolle eine der zehn genannten Maßnahmen ist — wobei dieser Artikel die Sicherheit der eigenen Organisation betrifft, nicht speziell die Nutzung von Supplia.