Der Fragebogen fragt nach unserer Richtlinie für mobile Geräte und Laptops

Richtlinie für mobile Geräte fällt unter Anlagenmanagement und Zugriff

Diese Frage fällt unter Artikel 21 Absatz 2 Buchstabe d und i der NIS2-Richtlinie: Sicherheit bei Beschaffung, Entwicklung und Wartung sowie Richtlinie für die Zugriffskontrolle einschließlich Betriebsmittel. Laptops und Telefone sind "assets" — Betriebsmittel, auf denen Geschäftsdaten gespeichert sind oder über die der Zugriff auf Systeme besteht. Der Kunde möchte also wissen, ob es eine schriftliche Richtlinie gibt, die regelt: wer welches Gerät nutzen darf, wie es verschlüsselt ist, was bei Verlust oder Diebstahl passiert, und ob private Nutzung von geschäftlichen Geräten (oder umgekehrt, BYOD) zulässig ist und unter welchen Voraussetzungen.

Falls es kein separates Dokument "mobile device policy" gibt, ist das nicht gleich ein Problem — prüfen Sie, ob der Kern davon bereits irgendwo vorhanden ist: in der Zugriffsregelung einschließlich Unternehmensmittel, in einer ISO-27001-Erklärung bei Annex A (asset management und mobile device policy sind dort als Steuerungsmaßnahmen enthalten), oder in einem IT-Handbuch. Falls es vollständig fehlt, dann ist "nein" die ehrliche Antwort — eine schriftliche Regelung ist etwas anderes als lose Praxis ohne Dokumentation. Die Verschlüsselung der Geräte selbst gehört auch hierher; das überlappt sich mit der Frage zu Kryptografie und Verschlüsselung, und es ist hilfreich zu wissen, welche Antwort dort bereits gegeben wurde, damit die beiden nicht widersprüchlich sind.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt unter i "Personalverwaltung, Zugangsschutz und Verwaltung von Vermögenswerten" als eine der zehn obligatorischen Maßnahmen; mobile Geräte fallen unter letzteres. ISO/IEC 27001 führt dies in Annex A weiter aus, mit spezifischen Kontrollmaßnahmen für "mobile devices" und "asset management" — eine Organisation mit einem ISO 27001-Zertifikat hat diesen Teil normalerweise bereits dokumentiert. Das Cybersicherheitsgesetz setzt diese Verpflichtung in deutsches Recht um und tritt am 15. August 2026 in Kraft; bis zu diesem Datum ist die Richtlinie selbst der Anknüpfungspunkt, nicht das nationale Gesetz.