Kunde fragt, wie wir das Arbeiten von zu Hause aus sichern, was trage ich dort ein

Telearbeit fällt unter die Zugriffsrichtlinie, nicht unter eine separate Maßnahme

Es gibt keinen separaten Punkt "Telearbeit" in Artikel 21 Absatz 2 NIS2 oder in Anlage A der ISO 27001. Die Frage wird in der Praxis durch eine Kombination abgedeckt: Zugriffsrichtlinie und Verwaltung von Unternehmensressourcen, Multi-Faktor-Authentifizierung und gegebenenfalls Kryptographie für Daten, die das Unternehmensnetzwerk verlassen. Wenn Ihr Kunde fragt "Wie sichert ihr Telearbeit ab", ist das meist eine verkürzte Version von: Wie regelt ihr den Zugriff auf Unternehmenssysteme von außerhalb des Büros, und auf welchem Gerät.

Konkret sucht der Prüfer nach drei Dingen. Erstens: Ist der Zugriff auf Systeme und Daten von zu Hause an ein verwaltetes Konto gebunden, mit der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen als dokumentiertes Stück. Zweitens: Ist Multi-Faktor-Authentifizierung für diesen Zugriff erforderlich — ohne MFA ist "ja, gesichert" meist keine haltbare Antwort, siehe Multi-Faktor-Authentifizierung für Unternehmenssysteme. Drittens: Gibt es Verschlüsselung auf dem Gerät oder der Verbindung (VPN, Festplattenverschlüsselung), wenn sensible Daten lokal gespeichert werden. Wenn ihr keine MFA oder keine VPN-Verpflichtung habt, antwortet dann mit "nein" oder "teilweise" — ein vorgeschlagenes "ja" ohne zugrundeliegendes Regelwerk ist kein Nachweis, es ist eine Vermutung, und diese Vermutung kommt im Audit zurück.

Nachweis ist das Richtliniendokument, nicht ein Screenshot

Der Nachweis, der meist verlangt wird, ist die Zugriffsrichtlinie selbst (mit der Passage über externes Arbeiten oder Remote Access) plus ein Export aus dem Identity Provider, das MFA-Erzwingung zeigt. Ein Screenshot eines Laptops ist kein Nachweis für den Prozess. Gemäß des Cybersicherheitsgesetzes — die niederländische Umsetzung, die am 15. August 2026 in Kraft tritt — kehrt dieselbe Anforderung über die zehn Maßnahmen von Artikel 21 Absatz 2 NIS2 zurück; wer jetzt bereits Zugriffsrichtlinie und MFA in Ordnung hat, hat damit auch einen Vorsprung bei dieser Verpflichtung. Dies ist übrigens getrennt von der Frage, ob das eigene Unternehmen selbst unter die Richtlinie fällt als Einrichtung unter NIS2 oder der nationalen Umsetzung — das bestimmt, ob ihr müsst, nicht was ihr hier eintragen.