ISO 27001:2022 · A.8.21 · A.8 Technologische Maßnahmen
Sicherheit von Netzwerkdiensten
Sicherheitsmechanismen, Leistungsniveaus und Anforderungen an Netzwerkdienste müssen identifiziert, umgesetzt und überwacht werden, unabhängig davon, ob sie intern oder ausgelagert erbracht werden.
ISO 27001TISAXBSIDORANIS2
Was fordert dieses Control?
Sicherheitsmechanismen, Leistungsniveaus und Anforderungen an Netzwerkdienste müssen identifiziert, umgesetzt und überwacht werden, unabhängig davon, ob sie intern oder ausgelagert erbracht werden.
Warum ist das wichtig?
Netzwerkdienste wie VPN, DNS oder Internetzugang müssen klar definierte Sicherheitseigenschaften haben, auch wenn sie von Providern erbracht werden.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.9 | Netzwerkdienste | Direkt |
| BSI | NET.1.1 | Netzdienste | Direkt |
| DORA | Art. 28 | Auslagerung von Diensten | Indirekt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 4 BSIG | Lieferkettensicherheit | Direkt |
Was der Auditor erwartet
- Definierte Sicherheitsanforderungen an Netzwerkdienste
- Vereinbarungen mit Dienstleistern (SLA/Security)
- Überwachung der Diensterbringung
Audit-Checkliste
Dokumente
Anforderungen an NetzwerkdiensteSicherheitsmerkmale und Leistungsniveaus je Dienst
Nachweise
Provider-VereinbarungenVertraglich zugesicherte Sicherheit und SLAs
VPN-KonfigurationsnachweisModerne Protokolle und MFA, keine offenen Legacy-RDP-Zugänge
Prüfberichte DiensterbringungBelege der Überwachung von Sicherheit und Service-Level
Technisch
DienstkonfigurationSichere Konfiguration von VPN, DNS und Zugängen
Praxis-Tipps zur Umsetzung
Anforderungen festlegenFür jeden Dienst Sicherheits- und Verfügbarkeitsanforderungen definieren.
Provider einbindenBei ausgelagerten Diensten Sicherheit vertraglich zusichern lassen.
ÜberwachenErbringung und Sicherheit der Dienste laufend kontrollieren.
Häufige Fehler
Provider blind vertrautKeine Sicherheitszusagen für ausgelagerte Netzwerkdienste.
Unklare AnforderungenEs ist nicht definiert, welche Sicherheit ein Dienst bieten muss.
Häufig gestellte Fragen
Was zählt als Netzwerkdienst?
Etwa Internetzugang, VPN, DNS, Firewall-as-a-Service und ausgelagerte Netzbetriebsleistungen.
Wie sichert man ausgelagerte Dienste ab?
Über klar definierte Sicherheitsanforderungen, Verträge mit SLAs und laufende Überwachung.
Wie verhält sich das zu A.8.20?
A.8.20 betrifft die Netzwerksicherheit selbst, A.8.21 die Sicherheit der bereitgestellten Netzwerkdienste.
So hilft CompliantDesk bei A.8.21
Erfassen Sie Netzwerkdienst-Anbieter als Lieferanten mit Sicherheitsanforderungen und verknüpfen Sie deren Bewertung mit Ihren Kontrollen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten