Ist die Zugangsrichtlinie dokumentiert, einschließlich der Verwaltung von Unternehmensressourcen?

Zugriffskontrolle und Assetverwaltung sind zwei separate Maßnahmen

Diese Frage vermischt oft zwei Dinge: Zugriffskontrolle (wer darf auf welche Systeme und welche Daten zugreifen) und Verwaltung von Unternehmensressourcen, auch Asset-Management genannt (wissen, welche Geräte, Systeme und Informationsträger du hast, und wer dafür verantwortlich ist). In Artikel 21 Absatz 2 der NIS2-Richtlinie stehen diese zwei der zehn obligatorischen Maßnahmen nebeneinander, aber sie sind keine Synonyme. Ein Kunde, der dies als eine Frage stellt, möchte normalerweise wissen, ob du beide im Griff hast, nicht ob sie dasselbe sind.

Für die Zugriffskontrolle ist relevant, ob es ein Verfahren für die Vergabe und den Entzug von Rechten gibt, ob dies an Funktionen gebunden ist, und ob Mehrstufenauthentifizierung für kritische Systeme verwendet wird. Für die Assetverwaltung geht es um einen aktuellen Überblick über Hardware, Software und Informationsträger, einschließlich des Eigentümers jeder Ressource und was bei Außerbetriebnahme oder Austausch von Geräten geschieht. Wenn du keine formell dokumentierte Richtlinie hast, aber eine funktionierende Praxis — zum Beispiel eine konsistente Benutzerliste in einem IAM-System, ohne dass ein Richtliniendokument daran gebunden ist — dann ist "nein" auf diese Frage oft sachlich richtiger als ein voreiliges "ja". Das Fehlen eines Dokuments ist etwas anderes als das Fehlen der Maßnahme selbst, und genau diesen Unterschied macht es aus, dass diese Antwort normalerweise bei "noch zu klären" stehenbleibt, bis du weißt, welches Nachweisdokument der Kunde erwartet: ein Richtliniendokument, ein Screenshot der Rechtestruktur oder eine Erklärung.

Wo dies steht: Artikel 21 Absatz 2 NIS2

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt Zugangsschutzrichtlinien und Vermögensverwaltung als separate Bestandteile innerhalb der zehn erforderlichen Maßnahmen, neben anderem Risikoanalyse und Verschlüsselungsrichtlinie. Die Richtlinie selbst schreibt kein festes Format vor: Wie ein Unternehmen dies dokumentiert und nachweist, liegt im Ermessen des Unternehmens und in der Verantwortung des fragenden Kunden, der in seinem eigenen Portal bestimmt, welche Nachweise er akzeptiert.