sie fragen, wie unser WLAN-Netzwerk im Büro geschützt ist

WLAN-Sicherheit fällt unter Zugangsrichtlinien, nicht unter eine eigene Frage

Die Frage zur WLAN-Sicherheit ist in der Regel eine Konkretisierung einer breiteren Frage: Wie regelt das Unternehmen den Zugang zu seinen Systemen und Betriebsmitteln. Eine einzelne Antwort zu "WPA3" oder "einem separaten Gastnetzwerk" ist in Ordnung, gehört aber im Dossier eigentlich als Teil von die Zugriffskontrollrichtlinie, einschließlich der Verwaltung von Betriebsmitteln. Netzwerkgeräte — Router, Access Points, Switches — sind Betriebsmittel, und die Art und Weise, wie diese verwaltet werden (Passwortrichtlinie, Firmware-Updates, Segmentierung von Gästen und Mitarbeitern), ist genau das, was diese Frage prüft.

Konkret beantwortest du dies normalerweise mit drei Elementen: das verwendete Verschlüsselungsprotokoll (WPA2-Enterprise oder WPA3), ob Gäste und Mitarbeiter in separaten Netzwerken sind, und wer für die Verwaltung der Access Points verantwortlich ist. Hast du keine formal dokumentierte WLAN-Richtlinie, aber eine funktionierende Praxis — zum Beispiel ein IT-Dienstleister, der dies verwaltet — dann beantwortest du auf Grundlage dieser Praxis und verweist im Dossier darauf. Fehlen sowohl die Richtlinie als auch eine nachweisbare Praxis, dann ist "nein" oder "teilweise" die ehrliche Antwort; eine Liste, in der Sicherungsdaten fehlen, führt zu keiner Genehmigung, auch nicht stillschweigend.

Zurückzuführen auf Anlage A und Artikel 21 Absatz 2 NIS2

Bei ISO/IEC 27001 fällt Netzwerksicherheit unter die Kontrollmaßnahmen der Anlage A, speziell unter die Kategorie, die Zugriffskontrolle und Netzwerksegmentierung regelt; ein Auditor, der nach Nachweisen fragt, fragt in der Praxis oft nach der WLAN-Richtlinie als Illustration dieser breiteren Maßnahme. Bei der NIS2-Richtlinie, Artikel 21 Absatz 2, fallen Zugriffskontrolle und Netzwerksicherheit unter die zehn dort genannten Maßnahmen, ohne dass WLAN als separater Punkt benannt wird. Falls du selbst unter die Richtlinie oder die niederländische Umsetzung davon fällst oder das Unternehmen selbst unter die NIS2-Richtlinie oder die nationale Umsetzung davon fällt — dann ist Netzwerksicherheit eines der Themen, über das du berichten können musst, auch wenn das Gesetz das Wort "WLAN" nicht verwendet.