Kunde fragt, wie wir Telearbeit und BYOD absichern, was fülle ich ein

Homeoffice und BYOD fallen unter Zugriffsschutz und Verschlüsselung

Diese Frage wird meist nicht als eigenständiges Element gestellt, sondern als Ausarbeitung von zwei der zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2: Zugriffsschutz (Punkt i) und Verschlüsselung (Punkt h). Der Kunde möchte wissen, wie Sie verhindern, dass ein privates Telefon oder Laptop zu Hause ein Sicherheitsleck zu Unternehmenssystemen wird. Tragen Sie ein, was Sie tatsächlich haben: MDM (Mobile Device Management) auf BYOD-Geräten, obligatorische Festplattenverschlüsselung, eine VPN-Verpflichtung für Fernzugriff und separate Profile für Arbeit und Privates. Falls Sie kein MDM haben, aber eine technische Beschränkung – beispielsweise dass Unternehmensdaten nur über ein Browser-Portal zugänglich sind, ohne lokale Speicherung – dann ist das eine gültige Antwort, keine Notfalllösung.

Fehlt eine BYOD-Richtlinie völlig – es gibt also keine technische oder organisatorische Trennung zwischen Privatem und Arbeit – dann ist "Nein" die richtige Antwort. Eine Liste ohne BYOD-Regelung ist allerdings nicht automatisch ein Problem: In Annex A von ISO/IEC 27001 fällt dies unter die Steuerungsmaßnahmen für Endgeräte und Zugriff, und viele Unternehmen mindern das Risiko, indem sie Homeoffice nur auf geschäftlichen Geräten erlauben – dann gibt es nichts über BYOD zu bestätigen, wohl aber über der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen. Prüfen Sie auch, ob etwas über Mehrstufenauthentifizierung bei Zugriff auf Unternehmenssysteme festgelegt ist, denn diese Frage gehört häufig in denselben Block und wird sonst doppelt mit widersprüchlichen Antworten beantwortet.

Wo genau es steht: Artikel 21 Absatz 2, Punkte h und i

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt unter h die Richtlinie über Kryptografie und Verschlüsselung und unter i Sicherheit von Personal, Zugriffsschutz und Verwaltung von Unternehmensmitteln – darunter fällt die Ausrüstung, über die Mitarbeiter Zugriff erhalten, also auch private Telefone und Homeoffice-Laptops. Im Cybersicherheitsgesetz, der niederländischen Umsetzung dieser Richtlinie, kehren dieselben zehn Maßnahmen zurück; das Gesetz tritt am 15. August 2026 in Kraft. ISO/IEC 27001 Annex A arbeitet dies weiter in separate Steuerungsmaßnahmen für Endpunktgeräte, Telearbeit und Zugriffskontrolle aus, was erklärt, warum Kunden dies manchmal als eine Frage stellen und manchmal als drei separate Fragen.