Sie fragen, wer Zugriff auf ihre Daten hat

Zugriffsrichtlinie, keine Namensliste

Der Kunde möchte hier normalerweise nicht wissen, welche Einzelperson sich anmeldet, sondern ob es ein System gibt, das regelt, wer worauf Zugriff hat. Das fällt unter Zugriffskontrolle: wer hat Zugriff auf welche Systeme und Daten, auf Basis welcher Rolle, und wie wird dieser Zugriff gewährt und wieder entzogen. Die Antwort besteht also aus zwei Teilen: die Richtlinie (wie wird Zugriff gewährt, überprüft, bei Ausscheiden entzogen) und die Praxis (wird mit rollenbasierten Rechten gearbeitet, least privilege, periodische Überprüfung wer noch Zugriff hat).

Wenn es kein separates Zugriffsrichtlinien-Dokument gibt, aber die Praxis in Ordnung ist — zum Beispiel Rollen in einem System, ein festes Verfahren bei Ein- und Austritt — ist das oft ausreichend, um mit "ja" zu antworten, sofern das auch wirklich nachweisbar ist. Fehlen beide, dann ist "nein" die ehrliche Antwort; eine Frage hierzu als "ja" vorzuschlagen, ohne dass es eine Quelle im Kettendossier gibt, kommt nicht vor. Verwandte Fragen auf derselben Liste befassen sich oft mit Multi-Faktor-Authentifizierung für Unternehmenssysteme und zur der Richtlinie für Risikoanalyse und Sicherheit von Informationssystemen — diese beiden gehören inhaltlich zusammen, denn Zugriff ist normalerweise eine der Schutzmaßnahmen, die aus der Risikoanalyse folgen.

Zurückzuführen auf Artikel 21 Absatz 2 und Anlage A

Zugriffskontrolle ist eine der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555): sie nennt explizit Richtlinien für Zugriffskontrolle und die Verwaltung von Unternehmensressourcen als verbindlichen Bestandteil des Risikomanagements. In ISO/IEC 27001 findet sich dies in den Schutzmaßnahmen von Annex A unter der Kategorie Zugriffskontrolle wieder. Kunden, die selbst unter das Cybersicherheitsgesetz fallen — die niederländische Umsetzung von NIS2, die am 15. August 2026 in Kraft tritt — legen diese Frage daher zunehmend standardmäßig ihren Lieferanten vor, auch wenn sie selbst noch nicht als Einheit unter der Richtlinie benannt sind.