Fragebogen fragt, ob Laptops verschlüsselt sind, wie stelle ich das sicher fest

Laufwerksverschlüsselung ist Teil der Kryptografiestrategie, nicht ein separates Häkchen

Die Frage nach verschlüsselten Laptops ist eine Teilfrage aus der umfassenderen Richtlinie zur Kryptografie und Verschlüsselung. Sicherzustellen, dass ein Laptop verschlüsselt ist, bedeutet in der Praxis: BitLocker (Windows) oder FileVault (macOS) wird zentral über die MDM- oder Intune-Richtlinie durchgesetzt, nicht als separate Einstellung, die ein Benutzer selbst aktivieren oder deaktivieren kann. Das Nachweisdokument, das hier am meisten zählt, ist ein Export aus dieser Verwaltungsumgebung mit dem Verschlüsselungsstatus pro Gerät — nicht ein Screenshot eines einzelnen Laptops. Wenn Sie diesen Export nicht haben, dann ist "nein" oder "unbekannt" die ehrliche Antwort; ein separates IT-Richtliniendokument ohne Gerätedaten deckt die Frage nicht ab.

Beachten Sie den Unterschied, den viele Verzeichnisse zwischen "policy" und "enforced" machen: eine Richtlinie, die besagt, dass Verschlüsselung erforderlich ist, ist etwas anderes als eine technische Kontrolle, die nicht verschlüsselte Geräte beim Anmelden blockiert. Wenn Ihr Kunde speziell nach "full disk encryption" fragt, zählt ein verschlüsselter Container-Ordner oder nur ein Passwort auf dem Betriebssystem nicht. Dies betrifft auch die Zugangsrichtlinie und die Verwaltung von Unternehmensmitteln: Ohne einen aktuellen Überblick darüber, welche Laptops vorhanden sind (Asset Management), können Sie auch nicht nachweisen, dass sie alle verschlüsselt sind — Sie können dann nur sagen, dass die Richtlinie existiert, nicht dass die Abdeckung hundert Prozent beträgt.

Wo dies in NIS2 und ISO 27001 auftaucht

Kryptografie wird als separate Maßnahme in Artikel 21 Absatz 2 der NIS2-Richtlinie aufgeführt, unter der Richtlinie für die Verwendung von Kryptografie und, soweit relevant, Verschlüsselung — eine der zehn Maßnahmen, die die Richtlinie aufzählt. In ISO/IEC 27001 fällt dies unter die Controlmaßnahmen in Annex A, die sich speziell auf kryptografische Kontrollen beziehen. Beide Rahmenwerke verlangen eine festgelegte Richtlinie plus ihre nachweisbare Anwendung; allein das Richtliniendokument ist daher nicht ausreichend als Nachweis, die technische Durchsetzung zählt ebenso schwer.