Fragensammlung fragt, ob Homeoffice-Arbeitsplätze geschützt sind, was antworte ich

Homeoffice-Arbeitsplätze fallen unter Zugangsregelungen, nicht unter ein separates Thema

Es ist keine separate Antwort für "Homeoffice" erforderlich: Die Frage bezieht sich in der Praxis auf Zugriffskontrolle, Authentifizierung und die Sicherung von Endgeräten. Wenn dies in Ordnung ist, ist Homeoffice abgedeckt. Beantworten Sie die Frage daher mit Verweis auf die gleichen Maßnahmen, die Sie bereits für Büroarbeitsplätze einsetzen: Wer erhält Zugriff auf welche Systeme, mit welchem Gerät und über welche Verbindung.

Konkret sucht der Kunde nach drei Dingen: eine VPN oder andere verschlüsselte Verbindung zu Unternehmenssystemen, Mehrfaktor-Authentifizierung für externen Zugriff und Verwaltung der Laptops und Telefone, die Mitarbeiter zu Hause nutzen (Patch-Level, Festplattenverschlüsselung, Passwortrichtlinie). Hast du das dokumentiert, dann lässt sich "Ja" begründen. Fehlt einer der drei Punkte — beispielsweise MFA ist nur im Büro erforderlich, nicht beim Homeoffice — dann lautet die Antwort "teilweise" mit einer Erläuterung, welcher Teil vorhanden ist. Überprüfe dies gegen der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen und gegen den Status der Mehrfaktor-Authentifizierung: das sind die zwei Dossierstücke, auf denen diese Antwort beruht. Hast du kein VPN, aber eine andere Form der verschlüsselten Zugänge, benenne das spezifisch — "gesichert" ohne Begründung liefert keine brauchbare Antwort.

Zurückzuführen auf Artikel 21 Absatz 2, nicht auf eine eigene Homeoffice-Norm

NIS2 kennt keinen separaten Artikel über Homeoffice. Die zehn Maßnahmen von Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennen Zugangsregelungen und die Verwaltung von Unternehmensressourcen (Buchstabe i) und die Verwendung von Mehrfaktor-Authentifizierung oder kontinuierlicher Authentifizierung (Buchstabe j) als separate Kategorien — Homeoffice ist eine Anwendung davon, keine eigene Kategorie. Bei einer ISO 27001-Implementierung fällt dies unter die Annex-A-Maßnahmen für Zugriffssicherheit und Ausrüstung außerhalb des Unternehmensgeländes. Fragt der Kunde also nach "sicheren Homeoffice-Arbeitsplätzen", ist die Antwort tatsächlich ein Ausschnitt Ihrer umfassenderen Zugangsregelung, und das ist auch, wo Sie das Beweismittel dafür suchen.