Fragebogen fragt, ob Mitarbeiter über VPN arbeiten, wie kann ich das begründen

VPN ist eine technische Maßnahme, kein separater Maßnahmetyp

VPN fällt unter Zugriffskontrolle und Verschlüsselung der Kommunikation, nicht unter eine eigene Kategorie. In Artikel 21 Absatz 2 der NIS2-Richtlinie gibt es keine wörtliche VPN-Anforderung; die zehn dort genannten Maßnahmen sind funktional formuliert, unter anderem unter Buchstabe f (Zugriffspolitik) und h (Verschlüsselung). Ein Kunde, der speziell nach VPN fragt, übersetzt diese funktionale Anforderung in der Regel in eine konkrete Technik — oft weil sein eigenes Fragebogen-Format das so vorschreibt, nicht weil das Gesetz dieses Wort verwendet.

Wenn Mitarbeiter über VPN remote arbeiten, besteht die Untermauerung in der Regel aus einem Auszug aus der Zugriffspolitik, in dem VPN als Anforderung für externen Zugriff aufgeführt ist, eventuell ergänzt durch einen Konfigurationsüberblick oder einen Screenshot aus der Verwaltungskonsole. Falls dieses Dokument fehlt, ist „nein der Zugriffsrichtlinie und Verwaltung von Unternehmensmitteln mit einer kurzen Erläuterung (beispielsweise: Der Fernzugriff erfolgt über eine andere kontrollierte Methode) besser als eine VPN-Antwort ohne Quelle — das Dossier füllt nur aus, was es nachweisen kann, und im Zweifelsfall bleibt das Feld für die eigene Ausfüllung offen. Dies entspricht

Woher das kommt: Annex A und Artikel 21 Absatz 2

ISO/IEC 27001 Annex A erwähnt Netzwerksicherheit und kryptografische Maßnahmen als Sicherheitsmaßnahmen, aber auch dort wird VPN nicht namentlich genannt — es ist eine Implementierungsentscheidung unter einer umfassenderen Kontrolle. Wer bereits ISO 27001-zertifiziert ist, kann für diese Frage in der Regel auf die Statement of Applicability verweisen, anstatt einen separaten VPN-Nachweis zu suchen; siehe was ein ISO 27001-Zertifikat abdeckt und nicht abdeckt. Für Unternehmen, die ab dem 15. August 2026 selbst unter das Cybersicherheitsgesetz fallen, wenn es in Kraft tritt, gilt die gleiche funktionale Formulierung aus der NIS2-Umsetzung — das Gesetz schreibt das Ziel vor, nicht das Mittel.