Eine Informationssicherheitsrichtlinie für einen ICT-Diensteanbieter beschreibt in verständlicher Sprache und schriftlich, wie Ihre Organisation mit Zugriff, mit Geräten und mit den Personen umgeht, die daran in Ihrem Namen arbeiten. Für einen ICT-Diensteanbieter dreht sich das vor allem um drei Dinge: wie Sie Kundensysteme aus der Ferne verwalten, wer Zugriff auf diese Systeme hat, und was Sie mit Unterauftragnehmern regeln, die einen Teil der Arbeit übernehmen. Ohne dieses schriftliche Dokument gibt es oft zwar eine Arbeitsweise, aber nichts, das Sie vorzeigen können, wenn jemand danach fragt.
Und es wird danach gefragt. Ein Auftraggeber, der selbst unter die Sorgfaltspflicht der NIS2-Richtlinie fällt, muss seine Lieferanten bewerten — und ein ICT-Diensteanbieter steht dabei oft ganz oben auf der Liste, gerade weil er gleichzeitig Zugriff auf Systeme mehrerer Kunden hat. Die Sicherheitsfrageliste, die dann ankommt, fragt selten nach einem umfangreichen Richtliniendokument. Sie fragt nach einer kurzen, erkennbaren Antwort auf ein paar wiederkehrende Fragen. Diese Antwort ist schneller zur Hand, wenn die Richtlinie bereits schriftlich vorliegt, statt dass Sie sie bei jeder Frageliste neu formulieren müssen.
Zweck und Geltungsbereich: worüber die Richtlinie gilt und worüber nicht
Der erste Abschnitt ist einfach, wird aber oft übersprungen: für wen gilt diese Richtlinie, und worüber gilt sie nicht. Bei einem ICT-Diensteanbieter bedeutet dies in der Regel eine Abgrenzung zwischen den eigenen internen Systemen und den Kundensystemen, die Sie verwalten oder in denen Sie arbeiten. Ein Leser — oder ein Kunde, der die Richtlinie anfordert — sollte in einem Absatz erkennen können, ob es um Ihre eigene Büroautomation geht, um die Infrastruktur, die Sie für Kunden verwalten, oder um beides. Ohne diese Abgrenzung ist jeder Folgepunkt schwer zu beurteilen.
Fernverwaltung: was Sie konkret festhalten
Wenn Sie Kundensysteme aus der Ferne verwalten, sollte die Richtlinie beschreiben, wie diese Verbindungen hergestellt werden, welche Tools dafür verwendet werden und wer sie initiieren darf. Es geht nicht um eine technische Anleitung, sondern um die Punkte, die ein Auftraggeber erkennt: wird mit einer festen, kontrollierten Zugriffsroute gearbeitet oder kann jeder Mitarbeiter jederzeit anmelden, wird eine Sitzung protokolliert, und was geschieht, wenn ein Gerät für die Fernverwaltung verloren geht oder ersetzt wird. Aufsichtsbehörden und Auftraggeber achten bei diesem Abschnitt vor allem auf Klarheit: steht in der Richtlinie eine Linie, die dem entspricht, was in der Praxis tatsächlich geschieht.
Zugriff auf Kundensysteme: Vereinbarungen, die in einer Frageliste auffallen
Der Zugriff auf Kundensysteme ist ein anderes Thema als die Fernverwaltung, auch wenn sie in der Praxis oft ineinander übergehen. Die Richtlinie beschreibt hier am besten, wer in Ihrer Organisation Zugriff auf welche Kundenumgebung erhält, basierend auf welcher Rolle, und wie dieser Zugriff entzogen wird, wenn jemand die Position wechselt oder aus dem Dienst ausscheidet. Viele Sicherheitsfragelisten von Auftraggebern fragen genau das: nicht, ob Sie eine Passwortrichtlinie haben, sondern ob der Zugriff an eine Rolle gebunden ist und regelmäßig überprüft wird. Wer das bereits schriftlich vorliegen hat, muss die Frage nicht im Moment der ankommenden Frageliste erfinden.
Unterauftragnehmer: wer sieht was, und wer trägt dafür Verantwortung
Das dritte Element, das bei einem IKT-Dienstleister oft fehlt, ist die Rolle von Unterauftragnehmern. Arbeiten Sie mit einer externen Partei zusammen, beispielsweise für Hosting, einen Teil des Helpdesks oder spezialisierte Verwaltung, sollte die Richtlinie festlegen, welche Vereinbarungen dafür gelten: Hat diese Partei Zugang zu Kundensystemen, und wenn ja, unter welchen Bedingungen, und wer in Ihrer Organisation ist Ansprechpartner, falls etwas bei diesem Unterauftragnehmer schiefgeht. Ein Auftraggeber, der Ihre Richtlinie bewertet, möchte genau dies sehen — nicht weil die Zusammenarbeit mit Unterauftragnehmern ein Problem ist, sondern weil mangelnde Klarheit darüber eines ist.
Wer die Richtlinie festlegt und wann sie überprüft wird
Ein letztes Element, das oft übersehen wird, ist die Verantwortung: Wer in der Organisation die Richtlinie festgelegt hat und wann sie zuletzt überprüft wurde. Bei einem kleinen Unternehmen ist das oft der Geschäftsführer selbst; bei einer etwas größeren Organisation kann es ein benannter Verantwortlicher sein. Wichtiger als der Titel ist, dass ein Name und ein Datum angegeben sind, damit ein Auftraggeber oder eine Aufsichtsbehörde sehen kann, dass das Dokument nicht erstellt und dann vergessen wurde.
Welche Elemente genau erwartet werden, hängt von dem Sektor ab, in dem Sie tätig sind, und vom Auftraggeber, der die Anfrage stellt. die Wissensdatenbank mit Themen pro Situation gibt pro Situation einen Überblick darüber, was dazugehört. Wenn Sie zunächst wissen möchten, ob Ihre Organisation über die Lieferkette von der NIS2-Richtlinie betroffen ist, hilft eine Einschätzung auf Grundlage einiger Fragen um das zu klären. Viele Fragen, die Kunden hierzu stellen, tauchen auch auf in den Fragen, die andere IKT-Dienstleister ebenfalls gestellt haben, und wer wissen möchte, worauf diese Antworten basieren, findet das unter der Erläuterung unserer Quellen und Arbeitsweise.
Wenn Sie noch keinen Überblick haben, wo Ihre Organisation steht, beginnen Sie mit der kostenlosen NIS2-Überprüfung. Diese gibt innerhalb weniger Minuten eine Einschätzung und einen nächsten Schritt, ohne dass dafür ein Konto erforderlich ist.