Kunde fragt nach unserer Richtlinie für mobile Geräte, was trage ich dort ein

Die Richtlinie für mobile Geräte fällt unter Zugriffsschutz, nicht unter ein separates Thema

Dies fällt unter Artikel 21 Absatz 2 Buchstabe d und Buchstabe i der NIS2: Zugriffskontrolle und Verwaltung von Unternehmensressourcen ("asset management"), und in ISO 27001 unter Annex A in der Kategorie Assets und Access Control. Es gibt keine separate NIS2-Maßnahme für "Mobiltelefone" — der Kunde übersetzt seine eigene ISO- oder BIO-Checkliste in diesen Bereich, und deine Antwort sollte dort logisch anschließen, anstatt als separates Richtliniendokument zu stehen.

Praktisch: Wenn eine MDM-Lösung läuft (Intune, Jamf oder ähnlich), mit erzwungener Bildschirmsperre, Verschlüsselung und Remote Wipe bei Verlust, dann ist dies das Nachweisdokument — ein Screenshot der Richtlinienkonfiguration oder das Richtliniendokument selbst. Bei BYOD (eigene Telefone von Mitarbeitern für die Arbeit) wird die Frage oft präziser formuliert, da die Trennung zwischen geschäftlichen und privaten Daten dann der Schwerpunkt ist: Containerisierung oder eine separate Arbeits-App ist oft ausreichend als Antwort. Fehlt formale Dokumentation, aber es gibt auch einzelne Maßnahmen (MFA, Verschlüsselung, Wipe-Möglichkeit), dann ist "nein" zur Frage nach einer dokumentierten Richtlinie faktisch korrekter als ein voreiliges "ja" — der Kunde fragt oft nach dem Dokument, nicht nach der Praxis. Prüfe auch, ob Multi-Faktor-Authentifizierung für Unternehmenssysteme bereits beantwortet wurde, denn diese beiden Antworten dürfen sich nicht widersprechen.

Wo dies in der Checkliste üblicherweise daneben steht

Checklisten, die nach der Richtlinie für mobile Geräte fragen, ordnen diese oft zusammen mit Fragen zur Verschlüsselung von Endgeräten — siehe die Richtlinie zur Kryptografie und Verschlüsselung für die umfassendere Verschlüsselungsfrage, die dort üblicherweise daneben steht — und mit der umfassenderen Asset-Inventarisierung aus dem Zugriffsschutz. In ISO 27001 Annex A ist mobile Ausrüstung kein separates Kapitel, sondern ein Unterbereich des Asset-Managements und der Zugriffskontrolle; wer die Antwort dort bereits dokumentiert hat, kann die Antwort zur Richtlinie für mobile Geräte direkt daran anschließen, anstatt ein neues Richtliniendokument zu erfinden.