Sie möchten wissen, wie wir Homeoffice schützen

Heimarbeitssicherheit fällt unter Zugriffskontrolle und MFA

Die Frage nach Homeoffice-Plätzen ist meist kein separates Thema, sondern eine Ausarbeitung von zwei breiteren Maßnahmen aus Artikel 21 Absatz 2 NIS2: Zugriffspolitik (unter e gehört manchmal auch eine Frage nach VPN-Verschlüsselung hinzu, wenn es um "Richtlinien und Verfahren in Bezug auf die Verwendung von Kryptografie" geht) und Authentifizierung (unter j, Multi-Faktor-Authentifizierung und sichere Kommunikation). Kunden möchten konkret wissen, ob ein Homeoffice-Platz genauso gut gesichert ist wie ein Büroarbeitsplatz: Ist VPN oder Zero-Trust-Zugriff erforderlich, ist MFA für alle externen Verbindungen aktiviert, und gibt es eine Richtlinie darüber, welche Geräte (Unternehmens-Laptop versus privates Telefon) Zugriff erhalten dürfen.

Wenn du das nicht explizit dokumentiert hast, dann ist die ehrlichste Antwort "nein" mit einer Erläuterung: beispielsweise, dass der Zugriff auf Unternehmenssysteme sowieso über MFA läuft, unabhängig vom Standort des Mitarbeiters. Das ist oft stärker als ein halb ausgefülltes "ja" zu einer Homeoffice-Richtlinie, die es gar nicht gibt. Überprüfe zunächst, ob Multi-Faktor-Authentifizierung für Unternehmenssysteme bereits dokumentiert ist — wenn diese Antwort "ja" ist, deckt das bereits einen großen Teil dieser Frage ab, denn die meisten Kunden fragen nach Homeoffice gerade, um zu überprüfen, ob der Zugriff unabhängig vom Standort gut geregelt ist. Fehlen sowohl die VPN-Richtlinie als auch MFA, dann liegt die Antwort "nein" auf der Hand, möglicherweise mit einer Erläuterung zu dem, was es gibt (beispielsweise nur eine Passwortrichtlinie).

Wo dies in Annex A von ISO 27001 konkreter wird

ISO/IEC 27001 Annex A arbeitet dies weiter aus unter den Kontrollmaßnahmen für "remote working" und Zugriffskontrolle, und viele Fragenlisten von Banken und großen Abnehmern basieren direkt auf dieser Annex A-Gliederung — daher wird die Frage oft unabhängig von den NIS2-zehn gestellt. Ob ein Unternehmen hier etwas Strukturelles sagen kann, hängt auch davon ab, ob es selbst unter das Cybersicherheitsgesetz fällt; ist das nicht der Fall, dann ist eine pragmatische Antwort zur bestehenden Situation ausreichend. Wenn du dir unsicher bist, ob das Unternehmen darunter fällt, schaue dann bei ob das Unternehmen unter NIS2 oder die nationale Umsetzung fällt — das bestimmt, wie sehr dieses Antwortsoll im Gesamtbild der Liste wiegen sollte.