Wie fülle ich die Frage zu VPN und sicherem Fernzugriff aus

Die Frage geht über VPN hinaus

Ein VPN ist eine Technik, aber die Frage selbst befasst sich mit der Fernzugriffssicherheit insgesamt. Das fällt unter Punkt (i) der zehn Maßnahmen in Artikel 21 Absatz 2 NIS2: Sicherheit von Personal, Zugriffskontrollrichtlinie und Verwaltung von Betriebsmitteln. Ein Kunde, der nach "gesichertem Fernzugriff" fragt, möchte normalerweise wissen, ob eine VPN oder eine vergleichbare verschlüsselte Verbindung vorhanden ist, ob Mehrfaktor-Authentifizierung obligatorisch ist, und ob der Zugriff auf das für die Funktion notwendige Maß beschränkt ist. Antworten Sie daher nicht nur "ja, wir nutzen VPN" — fügen Sie hinzu, ob dies für alle externen Zugriffe obligatorisch ist, und ob ein Zeitlimit oder automatische Abmeldung eingestellt ist.

Haben Sie kein VPN, aber einen anderen Mechanismus — eine Zero-Trust-Lösung, ein Gateway mit Zertifikat-Authentifizierung, eine Cloud-Umgebung ohne lokales Netzwerk — dann ist "nein" auf die wörtliche VPN-Frage nicht falsch, aber unvollständig. Beschreiben Sie in diesem Fall, was tatsächlich genutzt wird, denn das Portal Ihres Kunden fragt eigentlich nach dem Ziel (verschlüsselter, kontrollierter Zugriff), nicht nach dem spezifischen Produkt. Fehlt die Mehrfaktor-Authentifizierung für den externen Zugriff, ist das eine separate Frage, die häufig separat in der Liste vorkommt, siehe wird Mehrfaktor-Authentifizierung für den Zugriff auf Betriebssysteme genutzt. Haben Sie nichts über festgehalten, wer sich von außen anmelden darf und mit welchen Rechten, hat das auch Auswirkungen auf die breitere Frage zur Zugriffskontrollrichtlinie, siehe ist die Zugangsrichtlinie dokumentiert, einschließlich der Verwaltung von Vermögenswerten.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 nennt Sicherheit von Personal, Zugriffskontrollrichtlinie und Verwaltung von Betriebsmitteln als eine der zehn obligatorischen Maßnahmen; der Fernzugriff fällt darunter. ISO/IEC 27001 Annex A konkretisiert dies mit spezifischen Kontrollmaßnahmen für Zugriffssicherheit und Netzwerksicherheit, unter denen die VPN-Nutzung normalerweise dokumentiert wird. Das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2, tritt am 15. August 2026 in Kraft und legt dieselben zehn Maßnahmen für unter das Gesetz fallende Einheiten fest.