Kunde fragt, wie wir mobile Geräte von Personal schützen

Verwaltung mobiler Geräte fällt unter Zugang und Betriebsmittel

Diese Frage gehört zu Artikel 21 Absatz 2 Buchstabe d und Buchstabe i der NIS2: Sicherheit bei Beschaffung, Entwicklung und Wartung sowie Zugriffskontrolle einschließlich Verwaltung von Betriebsmitteln. Telefone und Tablets sind Betriebsmittel ("Assets"), sobald sie auf Betriebsdaten zugreifen können — E-Mail, Kundensysteme, freigegebene Laufwerke. Der Kunde möchte wissen, ob diese Geräte in einem verwaltbaren Zustand sind: sind sie registriert, gibt es eine Passwort- oder PIN-Anforderung, kann ein verlorenes Gerät aus der Ferne gelöscht werden, ist Verschlüsselung aktiviert.

Wenn eine MDM-Lösung (Mobile Device Management) läuft — Intune, Jamf, Google Endpoint Management oder ähnlich — dann ist das der Nachweis: ein Screenshot des Richtlinienprofils oder eine Beschreibung der festgelegten Regeln (PIN, Verschlüsselung, Remote Wipe, App-Beschränkungen). Ohne MDM ist die Antwort nicht automatisch "nein": viele kleinere Unternehmen regeln dies mit einer Bring-Your-Device-Richtlinie plus einer unterzeichneten Nutzererklärung. Beschreiben Sie, was vorhanden ist, anstatt die Frage zu überspringen. Dieses Thema überlappt mit die Zugriffskontrollrichtlinie einschließlich der Verwaltung von Betriebsmitteln — falls dort bereits ein Asset-Register und eine Zugriffsmatrix vorhanden sind, gehört die Verwaltung mobiler Geräte logischerweise dorthin und Sie können auf dieselbe Quelle verweisen.

Ohne MDM und ohne Richtlinie ist "noch festzustellen" das ehrliche Label, nicht "nein": viele Kunden akzeptieren einen Entwicklungspfad, sofern Sie angeben, was derzeit vorhanden ist und was noch folgt. Geben Sie auch an, ob Mehrstufenauthentifizierung für den Zugriff von mobilen Geräten erforderlich ist — das ist häufig eine separate Unterfrage in derselben Liste und wird durch dieselbe Kontrolle abgedeckt.

Wo dies in Annex A und im Gesetz vorkommt

In ISO/IEC 27001 Annex A fallen mobile Geräte unter die Kontrollmaßnahmen für die Verwaltung von Betriebsmitteln und Zugriffssicherheit; wer bereits ISO-zertifiziert ist, hat diesen Nachweis normalerweise bereits als Teil der Zugangsrichtlinie vorliegen. Das Cybersicherheitsgesetz ersetzt ab 15. August 2026 die geltenden NIS2-Durchführungsvorschriften auf nationaler Ebene, aber die Einteilung dieser Maßnahme — unter Artikel 21 Absatz 2 — ändert sich dabei nicht.