Wie fülle ich die Frage zur Sicherheit beim Telearbeiten aus

Heimarbeit fällt unter Zugriffskontrolle und MFA, nicht unter einen separaten Bereich

Die Frage zur Heimarbeit ist normalerweise kein eigenständiges Thema, sondern eine Konkretisierung von zwei der zehn Maßnahmen aus artikel 21 lid 2 NIS2: Zugriffskontrolle (Punkt i) und die Verwendung von Multifaktor-Authentifizierung oder vergleichbaren gesicherten Verbindungen (Punkt j). Füllen Sie diese also nicht separat aus, sondern konsistent mit dem, was Sie bereits bei der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen und bei der Frage zur Multifaktor-Authentifizierungbeantwortet haben. Wenn die Antwort dort nicht mit dem übereinstimmt, was Sie hier sagen, ist das das Erste, das ein Prüfer bemerkt.

Konkret möchte der Auftraggeber normalerweise wissen: Melden sich Mitarbeiter über ein VPN oder eine Zero-Trust-Verbindung an, ist MFA auf dieser Verbindung erforderlich, gibt es eine Device-Policy für private und geschäftliche Laptops, und gibt es eine Grundregel für öffentliches WLAN. Falls Sie dies nicht als separates Richtliniendokument haben, aber als Kapitel in einer umfassenderen IT-Richtlinie, reicht das als Nachweis aus — zitieren Sie den Abschnitt, nicht das ganze Dokument. Fehlt einer der vier Punkte, antworten Sie nicht automatisch "nein": geben Sie an, was vorhanden ist (zum Beispiel MFA ja, Device-Policy nein) und lassen Sie den Auftraggeber selbst die Anschlussfrage beurteilen. Falls Sie keines von beiden haben, ist "nein, noch nicht formalisiert" faktisch richtiger als ein halbherzig "ja", das Sie nicht belegen können.

Woher dies kommt: artikel 21 lid 2, Punkte i und j

Artikel 21 lid 2 NIS2 erwähnt unter i "Richtlinien und Verfahren zur Verwendung von Kryptografie" — nein, das ist Punkt h; Punkt i befasst sich mit Personalsicherheit, Zugriffskontrolle und Asset-Management, und Punkt j speziell mit der Verwendung von Multifaktor-Authentifizierungs- oder Authentifizierungslösungen mit kontinuierlicher Authentifizierung, verschlüsselter Kommunikation und gesicherter Notfallkommunikation innerhalb des Unternehmens. ISO/IEC 27001 Annex A arbeitet dies weiter aus unter den Kontrollen für Telearbeit und Netzwerkzugang. Das Cybersicherheitsgesetz übernimmt diese Einteilung unverändert, sobald es am 15. August 2026 in Kraft tritt, daher ist eine Antwort, die bereits jetzt mit diesen beiden Punkten übereinstimmt, auch nach diesem Datum noch brauchbar.