Kunde fragt, welche Lieferanten Zugriff auf unsere Systeme haben

Diese Frage kombiniert Lieferkettenbeveiligun und Zugriffsschutz

Der Kunde möchte hier eigentlich zwei Dinge gleichzeitig wissen: welche Lieferanten technisch Zugriff auf Systeme haben, und ob diese Zugriffskontrolle kontrolliert ist. Das ist direkt relevant. die Zugriffskontrolle einschließlich der Verwaltung von Vermögenswerten — dort steht, wer etwas darf, und mit welchen Rechten. Ein Lieferant, der sich remote bei einem System anmeldet, Remote-Support leistet, oder Daten in einer eigenen Anwendung verarbeitet, fällt unter diese Antwort.

Es geht nicht nur um IT-Lieferanten im klassischen Sinne. Ein Buchhaltungsbüro mit Einsicht in das Finanzsystem, ein Hosting-Anbieter, ein SaaS-Tool, in dem Kundendaten enthalten sind: Das sind alle externe Parteien mit Zugriff. Ob die Frage auch auf die Anforderungen abzielt, die das Unternehmen selbst an diese Lieferanten stellt — vertraglich, technisch, in Bezug auf Prüfrechte — hängt von der Formulierung in der Frageliste ab. Oft ist das eine separate Frage, die anknüpft an die Sicherheitsanforderungen, die das Unternehmen an seine eigenen Lieferanten stellt. Ohne einen aktuellen Überblick über den externen Zugriff — eine Lieferantenliste mit der Art des Zugriffs pro Partei — gibt es kein Basisdokument, auf dem diese Antwort gestützt werden kann, und dann kann die Antwort noch nicht ausgefüllt werden.

Wo das in den zehn Maßnahmen steht

Zugriffskontrolle und Lieferkettenbeveiligun sind zwei separate Maßnahmen innerhalb der zehn des Artikels 21 Absatz 2 der NIS2-Richtlinie: Lieferkettenbeveiligun steht in Punkt d, Zugriffskontrolle und Verwaltung von Vermögenswerten in Punkt i. ISO/IEC 27001 teilt dies vergleichbar in Annex A auf, mit separaten Kontrollmaßnahmen für Lieferantenbeziehungen und für Zugriffskontrolle. Wer diese Frage aus dem Cybersecurity Act erhält, der niederländischen Umsetzung der NIS2, kann damit rechnen, dass beide Blickwinkel — wer Zugriff hat, und ob das überwacht ist — separat in der Liste wieder auftauchen.