Fragensammlung fragt nach Richtlinie für mobile Geräte und Laptops von Mitarbeitern

Richtlinie für mobile Geräte fällt unter Zugriffskontrolle und Verwaltung von Betriebsmitteln

Diese Frage bezieht sich auf Artikel 21 Absatz 2 Unterabsatz i der NIS2: Richtlinie zur Zugriffskontrolle, einschließlich der Verwaltung von Betriebsmitteln ("asset management"). Telefone und Laptops sind Betriebsmittel, die Daten außerhalb des Büronetzwerks zugänglich machen, und der Kunde möchte wissen, ob diese kontrolliert sind. In der Praxis erwartet der Fragebogen Antworten auf einige Standardpunkte: Gibt es ein Register ausgegebener Geräte, ist die Verschlüsselung der Speicherung erforderlich, gibt es eine Mindestanforderung für PIN oder Biometrie, und kann ein verlorenes oder gestohlenes Gerät aus der Ferne gelöscht werden (MDM — mobile device management). Auch BYOD (bring your own device, private Geräte von Mitarbeitern) kommt häufig separat vor, da dies ein anderes Risiko mit sich bringt als Betriebsgeräte.

Falls diese Richtlinie noch nicht schriftlich festgehalten ist, aber die Praxis in Ordnung ist — Verschlüsselung ist standardmäßig aktiviert, der Zugriff erfolgt über ein Konto mit Mehrstufenauthentifizierung — dann ist "nein, noch keine dokumentierte Richtlinie" die ehrliche Antwort, möglicherweise mit einer Erläuterung zu den tatsächlichen Maßnahmen. Sagen Sie nicht "ja" zu einer Frage nach einer MDM-Lösung, wenn diese nicht vorhanden ist; ein Kunde, der dann nach dem Geräteverzeichnis oder dem Vorfallprozess bei Verlust nachfragt, steht sonst ohne Belege da. Verlust oder Diebstahl eines Geräts betrifft jedoch auch das Verfahren für Sicherheitsvorfälle, daher müssen diese beiden Antworten aufeinander abgestimmt sein.

Wo dies zu finden ist: Artikel 21 Absatz 2 und Annex A

Artikel 21 Absatz 2 Unterabsatz i der Richtlinie (EU) 2022/2555 nennt Richtlinien zur Zugriffskontrolle und zur Verwaltung von Betriebsmitteln als eine der zehn erforderlichen Maßnahmen. ISO/IEC 27001 führt dies in Annex A weiter aus, unter den Kontrollmaßnahmen für "endpoint devices" und mobile Geräte; wer bereits ISO 27001-zertifiziert ist, hat diesen Teil normalerweise bereits dokumentiert. Das niederländische Cybersicherheitsgesetz, das die NIS2 umsetzt und am 15. August 2026 in Kraft tritt, folgt der gleichen Gliederung in zehn Maßnahmen.