Was die MIRRI-Verordnung 184/2026 für das Identitäts- und Berechtigungsmanagement verlangt

Ab dem 1. Januar 2027 richten sich die Verwalter der Informationstechnologien der öffentlichen Verwaltung (ITVS, informačné technológie verejnej správy) in der Slowakei nach einer neuen Verordnung über Sicherheitsmaßnahmen. Nach § 2 des Gesetzes Nr. 95/2019 ist ein Informationssystem eine Form von Informationstechnologie, ITVS schließen also die Informationssysteme der öffentlichen Verwaltung (ISVS, informačné systémy verejnej správy) ein; die Anlage 2 der Verordnung verwendet beide Abkürzungen. Die Verordnung Nr. 184/2026 Slg. des Ministeriums für Investitionen, Regionalentwicklung und Informatisierung (MIRRI) ersetzt ab diesem Datum die Verordnung 179/2020. Ihre Anlage 2 führt 181 Mindestsicherheitsmaßnahmen auf, und dreizehn davon, die Punkte 99 bis 111, bilden den Bereich „Identitäts- und Zugriffsmanagement“ (správa identít a prístupov).

Drei dieser Punkte gelten für jeden Verwalter, von der kleinsten Gemeinde bis zum Ministerium. Sie verlangen ein definiertes System für das Identitäts- und Zugriffsmanagement, eine Liste aller Benutzer mit ihren Kennungen und Autorisierungen sowie Mechanismen und Werkzeuge, um Identitäten und Zugriffe für jedes System zu verwalten. Die übrigen zehn gelten für die Kategorien II und III; dazu gehört eine jährliche Rezertifizierung der Zugriffskonten und Berechtigungen (auch Zugriffsüberprüfung oder Access Review genannt) mit einer Aufzeichnung, die aufzubewahren ist, bis das nächste Audit oder die nächste Selbstbewertung abgeschlossen ist.

Kurzantwort: Die Verordnung 184/2026 verlangt von jedem ITVS-Verwalter, zu wissen, welche Systeme, Identitäten, technischen Konten und Administratoren er hat, eine Liste der Benutzer und ihrer Autorisierungen zu führen und Mechanismen und Werkzeuge für das Identitäts- und Zugriffsmanagement in allen seinen Systemen einzusetzen. Verwalter der Kategorien II und III müssen zusätzlich den gesamten Identitätslebenszyklus steuern, rollenbasierten Zugriff und das Prinzip der minimalen Berechtigung (Least Privilege) anwenden sowie Konten und Berechtigungen mindestens einmal jährlich rezertifizieren und die Aufzeichnung darüber aufbewahren. Bis zum 30. Juni 2027 gelten die neuen Mindestmaßnahmen als getroffen, wenn Sie die Maßnahmen Ihrer Kategorie nach Anlage 2 der Verordnung 179/2020 getroffen haben.

Dieser Leitfaden erklärt, welche Kategorie für wen gilt, was jeder der Punkte 99 bis 111 verlangt und welche Nachweise aufzubewahren sind, wie sich die Verordnung von der NBÚ-Verordnung für Betreiber wesentlicher Dienste unterscheidet und was sich gegenüber 179/2020 geändert hat. Grundlage sind die amtlichen Texte auf Slov-Lex, geprüft am 21. Oktober 2026, wobei der Wortlaut der Punkte und die Kategoriespalten mit dem rechtsverbindlichen PDF abgeglichen wurden. Es handelt sich um praktische Orientierung, nicht um Rechtsberatung. Ihre Kategorie, Ihre Risikoanalyse und Ihre Dokumentation bleiben Entscheidungen Ihrer Organisation.

Wichtige Termine

Die Verordnung wurde am 1. Juli 2026 erlassen und am 9. Juli 2026 in der Gesetzessammlung veröffentlicht. Sie ergeht auf Grundlage von § 31 Buchst. i) des Gesetzes Nr. 95/2019 Slg. über Informationstechnologien in der öffentlichen Verwaltung, das den Verwalter (správca) dafür verantwortlich macht, Sicherheitsmaßnahmen für die ihm anvertrauten Informationstechnologien der öffentlichen Verwaltung zu treffen und umzusetzen (§ 18 Abs. 1 des Gesetzes).

Nach § 5 Abs. 1 gelten die Maßnahmen der gesamten Anlage 2 als getroffen; die Übergangsfrist erfasst also auch die neuen Punkte, endet aber am 30. Juni 2027. Beide Hälften von § 5 Abs. 1 beziehen sich auf die Kategorie, die nach § 1 der neuen Verordnung gilt. Nach unserer Lesart braucht eine Organisation, deren Kategorie sich ändert (zum Beispiel eine Kammer: Kategorie I nach § 3 Abs. 2 Buchst. e) der Verordnung 179/2020, aber Kategorie III nach § 1 Abs. 6 Buchst. z) der Verordnung 184/2026), daher die Maßnahmen der Verordnung 179/2020 für ihre neue Kategorie, damit die Fiktion greift. Unsere Empfehlung: Die Punkte, die für Ihre Kategorie neu sind, sollten bis zum 30. Juni 2027 funktionieren. Welche das sind, zeigt der Vergleich mit 179/2020 weiter unten in diesem Leitfaden.

Welche Kategorie für Ihre Organisation gilt

Die Kategorie richtet sich nach der Art der Organisation. § 1 Abs. 4 bis 6 der Verordnung ordnet sie den öffentlichen Stellen (orgán riadenia) zu, die in § 5 Abs. 2 des Gesetzes Nr. 95/2019 definiert sind. Eine Organisation der Kategorie II wendet die für die Kategorien I und II gekennzeichneten Maßnahmen an; eine Organisation der Kategorie III wendet alle drei an.

Die Tabelle kürzt die Listen. Allein Absatz 6 hat 27 Einträge; prüfen Sie daher den vollständigen Wortlaut in § 1 der Verordnung, wenn Ihre Organisation oben nicht genannt ist.

Zwei Details werden leicht übersehen. Eine Organisation, die von einem Ministerium, einer Region oder einer anderen in § 5 Abs. 2 Buchst. a) bis d) des Gesetzes Nr. 95/2019 genannten Stelle errichtet wurde, gehört zu Kategorie I, es sei denn, sie ist eine kritische Einrichtung nach dem Gesetz Nr. 367/2024 über kritische Infrastruktur; in diesem Fall ordnet § 1 Abs. 6 Buchst. y) sie der Kategorie III zu. Und nach § 1 Abs. 3 gehen die Bestimmungen der höheren Kategorie vor, wenn Mindestmaßnahmen verschiedener Kategorien, die für dieselben ITVS gelten, doppelt vorhanden oder unvereinbar sind.

Was die Kategorie für die Punkte 99 bis 111 bedeutet

Im Identitätsbereich ist die Kennzeichnung in den Spalten einfach. Die Punkte 99, 100 und 101 sind für die Kategorien I, II und III gekennzeichnet. Die Punkte 102 bis 111 sind nur für die Kategorien II und III gekennzeichnet. Eine Gemeinde mit 4.000 Einwohnern hat damit im Identitätsbereich drei Punkte zu erfüllen, ein Stadtbezirk oder eine Selbstverwaltungsregion dreizehn.

Kategorie I ist auch an anderer Stelle der Anlage 2 nicht frei von zugriffsbezogenen Pflichten. Punkt 3 (eine benannte Person, die für den Benutzerzugriff verantwortlich ist), Punkt 10 (Least Privilege), Punkt 11 (Trennung der Verantwortlichkeiten) und die Punkte 85 und 86 (eine Liste der an ISVS und ITVS arbeitenden Beschäftigten sowie formalisierte Prozesse für Eintritt, Wechsel und Austritt) gelten für alle drei Kategorien. Sie werden im Abschnitt zu den verwandten Punkten weiter unten behandelt.

Abweichungen brauchen eine dokumentierte und genehmigte Begründung

Das Minimum kann nur über eine dokumentierte Risikoanalyse angepasst werden. Nach § 2 Abs. 3 muss eine Mindestmaßnahme Ihrer Kategorie nicht umgesetzt werden, wenn sie für das Risiko nicht relevant ist, wenn sich das Risiko durch Beenden oder Nichtaufnehmen der verursachenden Tätigkeit vermeiden lässt oder wenn sich das Risiko auf andere Weise vermeiden lässt. § 2 Abs. 1 Buchst. e) verlangt, dass die Begründung jeder Abweichung Teil des Risikomanagements ist, und § 2 Abs. 4 verlangt, dass das Ergebnis der Risikoanalyse und die vorgeschlagenen Maßnahmen einschließlich dieser Begründung vom Statutarorgan oder einer von ihm ermächtigten Führungskraft schriftlich genehmigt werden.

Für Identität und Zugriff heißt das: Ein Punkt, den Sie bewusst nicht umsetzen, braucht einen schriftlichen, genehmigten Grund. Das Fehlen eines geeigneten Werkzeugs gehört nicht zu den in § 2 Abs. 3 genannten Gründen.

Verordnung 184/2026 und Verordnung 227/2025 im Vergleich

Ab dem 1. Januar 2027 werden in der Slowakei zwei Verordnungen mit sehr ähnlichen Punkten zu Identität und Zugriff in Kraft sein, erlassen von verschiedenen Behörden für verschiedene Adressaten. Unser Artikel Was die NBÚ-Verordnung 227/2025 für das Identitäts- und Berechtigungsmanagement verlangt behandelt die NBÚ-Verordnung im Detail.

Die meisten Identitätspunkte entsprechen sich nahezu wörtlich. Punkt 102 entspricht Punkt 76 der Verordnung 227/2025, die Punkte 103 und 104 entsprechen den Punkten 78 und 79, Punkt 105 entspricht Punkt 80, und die Punkte 106 bis 110 entsprechen den Punkten 81 bis 85. Punkt 111 entspricht Punkt 86, den 227/2025 auf Betriebstechnik beschränkt, während 184/2026 ihn auf alle ITVS und ISVS anwendet. Was 227/2025 in ihrem Identitätsbereich nicht enthält, sind die drei für alle Kategorien geltenden Punkte 99, 100 und 101. Was 184/2026 nicht enthält, sind die Punkte 77 und 87 der Verordnung 227/2025: Punkt 77 (eine separate Zugriffskontrolltechnologie für Betriebstechnik) ist nur in der OT-Spalte für kritische Betreiber gekennzeichnet, und Punkt 87 (Identifizierung nicht autorisierter Funkgeräte) ist nur für Betreiber kritischer wesentlicher Dienste gekennzeichnet, sowohl in der IKT- als auch in der OT-Spalte.

Wenn beide Verordnungen gelten

Manche Verwalter sind zugleich Betreiber wesentlicher Dienste. Seit dem 30. April 2026 führt § 17 Abs. 1 Buchst. g) des Gesetzes Nr. 69/2018, in der Fassung von Artikel III des Gesetzes Nr. 67/2026, ITVS-Verwalter, für die nach einer besonderen Rechtsvorschrift Mindestmaßnahmen der Kategorie II oder III gelten, unter den Personen auf, die in das Register der Betreiber wesentlicher Dienste eingetragen werden. Das Gesetz Nr. 95/2019 bestimmt dann in § 18 Abs. 2, dass ein Verwalter, der Betreiber wesentlicher Dienste ist, ITVS-Maßnahmen nach diesem Gesetz und zugleich im Umfang und unter den Bedingungen einer besonderen Rechtsvorschrift trifft und umsetzt; die Fußnote zu diesem Satz (Anmerkung 20) verweist auf § 20 Abs. 4 des Gesetzes Nr. 69/2018, der aufzählt, was Sicherheitsmaßnahmen mindestens umfassen müssen. § 1 Abs. 3 des Gesetzes Nr. 95/2019 ergänzt, dass die Pflichten und Befugnisse eines solchen Verwalters nach dem Gesetz Nr. 69/2018 davon unberührt bleiben.

Drei Anmerkungen dazu. Die Fußnote zu § 17 Abs. 1 Buchst. g) verweist weiterhin auf § 3 Abs. 3 und 4 der Verordnung 179/2020, die ab dem 1. Januar 2027 aufgehoben ist; am 21. Oktober 2026 führte Slov-Lex keine spätere Fassung des Gesetzes Nr. 69/2018, sodass es noch keine veröffentlichte Änderung gibt, die diese Fußnote aktualisiert. § 20 Abs. 3 des Gesetzes Nr. 69/2018 bestimmt, dass Sicherheitsmaßnahmen im Umfang und in der Weise nach § 32 Abs. 1 Buchst. b) dieses Gesetzes, der Grundlage der Verordnung 227/2025, oder nach einer besonderen Rechtsvorschrift getroffen und umgesetzt werden, falls eine solche erlassen wird; seine Fußnote nennt das Gesetz Nr. 95/2019 unter den Beispielen. Keines der beiden Gesetze sagt ausdrücklich, wie ein Verwalter, der zugleich Betreiber wesentlicher Dienste ist, die beiden Maßnahmenpakete gemeinsam dokumentiert; nach unserer Lesart ist das eine Frage, die Sie zusammen mit Ihrem Registrierungsstatus mit dem NBÚ und dem MIRRI klären sollten. Da die jährliche Rezertifizierung in Punkt 80 und Punkt 105 nahezu gleich formuliert ist, empfehlen wir eine einzige Rezertifizierung, deren Umfang und Aufzeichnung beide Punkte erfüllen.

Die Punkte 99 bis 111 mit Kontrollen und Nachweisen

Die Tabelle fasst jeden Punkt zusammen, zeigt seine Kategorien und schlägt eine Kontrolle und die aufzubewahrenden Nachweise vor. Die Spalten Kontrolle und Nachweise sind unsere Empfehlungen; die Verordnung schreibt Ergebnisse vor und überlässt Ihnen die Wahl der Werkzeuge. Der genaue slowakische Wortlaut der wichtigsten Punkte wird in den folgenden Abschnitten zitiert.

Die drei Punkte, die jede Kategorie erfüllen muss

Bei den Punkten 99 bis 101 weicht 184/2026 am stärksten sowohl von 179/2020 als auch von 227/2025 ab. Sie sind kurz, verlangen aber zusammen ein Inventar, ein Register und eine Werkzeugentscheidung für jedes Informationssystem der öffentlichen Verwaltung, das Sie verwalten.

Punkt 99 verlangt ein definiertes und überprüftes System

Punkt 99 lautet: „pre všetky ISVS a ITVS v súlade s bezpečnostnými cieľmi organizácie správcu je definovaný, zavedený a kontrolovaný systém riadenia identít a prístupov organizácie správcu, ktorý obsahuje a) zoznam systémov a spôsob riadenia lokálnych identít a centrálne riadených identít používateľov a tretích strán, b) zoznam a jednotlivé typy identít a používateľov, technických účtov a administrátorov naprieč systémami, c) spôsoby identifikácie a autentifikácie používateľov v jednotlivých systémoch“.

Nach unserer Lesart beschreibt das Wort systém hier das gesamte Gefüge: Regeln, Zuständigkeiten und Aufzeichnungen, definiert, eingeführt und dann überprüft. Unsere Empfehlung ist ein Dokument, das für jedes System drei Fragen beantwortet:

• Woher stammen seine Identitäten? Manche Systeme nutzen einen zentralen Verzeichnisdienst, andere führen lokale Konten. Auch Beschäftigte Dritter, etwa Administratoren von Dienstleistern, müssen darin erscheinen.
• Welche Arten von Identität gibt es darin? Die Verordnung nennt Benutzer, technische Konten (technické účty) und Administratoren. Servicekonten, die von Integrationen und geplanten Jobs genutzt werden, gehören hierher.
• Wie identifizieren und authentifizieren sich die Personen? Zum Beispiel per Anmeldung über den Verzeichnisdienst mit Multi-Faktor-Authentifizierung, mit einem lokalen Passwort oder mit einem Zertifikat.

Ein praktisches Format ist eine Tabelle je Organisation mit einer Zeile je ISVS oder ITVS. Beginnen Sie mit dem Asset-Verzeichnis, das § 3 der Verordnung ohnehin verlangt und das zentral geführt werden, den aktuellen Stand abbilden und die Verantwortlichen für die Assets erfassen muss. Die Identitätsspalten erweitern dann eine Liste, die Sie ohnehin führen müssen.

Punkt 100 verlangt eine Liste der Benutzer und ihrer Autorisierungen

Punkt 100 lautet: „organizácia správcu vedie zoznam všetkých používateľov, ich identifikátorov a autorizácií v rámci správy ISVS a ITVS“.

Das ist ein über die Zeit gepflegtes Register, wer welches Konto und welche Berechtigungen hat. Wo Berechtigungen über Anwendungsdatenbanken, Tabellen und Ticket-Historien verstreut sind, bedeutet seine Erstellung, sie aus jeder Quelle zusammenzutragen. Aus dem Wortlaut folgen nach unserer Lesart zwei praktische Punkte. Die Liste umfasst alle Benutzer, externe Mitarbeitende und Beschäftigte von Dienstleistern gehören also hinein. Und sie umfasst Autorisierungen, nicht nur Konten; eine Liste von Logins ohne Berechtigungen erfüllt den Punkt also nicht.

Für Organisationen der Kategorie I mit wenigen Systemen kann das Register eine gepflegte Tabelle sein, die aus jeder Anwendung exportiert wird. Für Organisationen mit Dutzenden Systemen wird es zum Problem, das Register von Hand aktuell zu halten. Ein an diese Systeme angebundenes Governance-Werkzeug kann das Register für die Systeme, die es abdeckt, aktuell halten.

Punkt 101 verlangt Mechanismen und Werkzeuge für jedes System

Punkt 101 lautet: „organizácia správcu určí, zavedie a používa mechanizmy a nástroje na riadenie identít a prístupov pre všetky ISVS a ITVS“.

Der Punkt hat drei Verben: festlegen, einführen und nutzen. Ein Werkzeug zu kaufen und ungenutzt zu lassen, erfüllt höchstens das erste. Der Punkt nennt keine Produktkategorie und verlangt kein zentrales Werkzeug für alles. Nach unserer Lesart ist eine Kombination zulässig, zum Beispiel ein zentraler Verzeichnisdienst für die Authentifizierung, ein Identity-Governance-Werkzeug für Anfragen, Genehmigungen und Rezertifizierungen und die eigenen Kontrollen der Anwendung, wo keine Integration besteht, solange Sie zeigen können, welcher Mechanismus welches System steuert.

Halten Sie diese Zuordnung schriftlich fest. Ein einseitiger Entscheidungsvermerk, der jedes ISVS und den Mechanismus nennt, der seine Identitäten und Zugriffe verwaltet, ist der einfachste Nachweis für Punkt 101, und er nutzt das Inventar aus Punkt 99 wieder.

Punkt 105, die jährliche Rezertifizierung für die Kategorien II und III

Punkt 105 lautet: „v pravidelných intervaloch, najmenej raz ročne je vykonávaná kontrola prístupových účtov a prístupových oprávnení na overenie súladu schválených oprávnení so skutočným stavom vykonávania oprávnení vrátane detekcie a následného zneplatnenia nepoužívaných prístupových účtov; vyhotovuje sa o tom záznam, ktorý sa uchováva najmenej počas obdobia od ukončenia posledného auditu do ukončenia nasledujúceho auditu alebo samohodnotenia“.

Der Wortlaut ist nahezu identisch mit Punkt 80 der Verordnung 227/2025, und unser Leitfaden zu 227/2025 geht die Festlegung des Umfangs, den Abgleich, ungenutzte Konten und die Aufbewahrung Schritt für Schritt durch. Drei Punkte sind spezifisch für die Verordnung für die öffentliche Verwaltung:

• Kategorie I ist nicht gekennzeichnet. Eine Organisation der Kategorie I ist durch Punkt 105 nicht verpflichtet, die Rezertifizierung durchzuführen, auch wenn ihre Risikoanalyse sie dennoch dorthin führen kann.
• Die Verordnung sagt nicht, welches Audit gemeint ist. Die Verordnung 184/2026 definiert weder Audit noch Selbstbewertung; Punkt 76 (Kategorien II und III) verlangt nur definierte Regeln für Audit- und Kontrolltätigkeiten. Für einen als Betreiber wesentlicher Dienste registrierten Verwalter ist der naheliegende Bezug das Cybersicherheitsaudit und die Selbstbewertung nach § 29 des Gesetzes Nr. 69/2018; das ist unsere Auslegung, keine Aussage der Verordnung. Unsere Empfehlung: Bewahren Sie jede Aufzeichnung über die Rezertifizierung mindestens bis zum Abschluss des nächsten Cybersicherheitsaudits auf und klären Sie den Bezug mit dem MIRRI, wenn Sie nicht als Betreiber wesentlicher Dienste registriert sind.
• „Ungenutzt“ und „invalidiert“ sind nicht definiert. Legen Sie in Ihrer Zugriffsrichtlinie einen messbaren Schwellenwert je Kontotyp fest, behandeln Sie selten genutzte, aber legitime Konten (Notfall-Administratorkonten, jährliche Jobs) als dokumentierte Ausnahmen und klären Sie die Abhängigkeiten eines technischen Kontos, bevor Sie es deaktivieren.

Eine brauchbare Aufzeichnung enthält mindestens das Datum und die verantwortliche Person (Punkt 3), den Umfang mit dokumentierten Ausschlüssen, die Prüfenden, jede Entscheidung über Beibehalten oder Entziehen mit Datum, den Schwellenwert für ungenutzte Konten und die gefundenen Konten, das Ergebnis jedes Entzugs im Zielsystem einschließlich fehlgeschlagener oder ausstehender sowie offene Punkte mit Zuständigen.

Verwandte Punkte in anderen Bereichen der Anlage 2

Mehrere Maßnahmen, die Identität und Zugriff betreffen, liegen außerhalb des Identitätsbereichs. Die Kategorien unten wurden im verbindlichen PDF geprüft.

• Punkt 3 (alle Kategorien): eine benannte Person, die für die Verwaltung des Benutzerzugriffs auf das Netzwerk und die ITVS verantwortlich ist, Zugriffsrechte gewährt und entzieht, ein Register darüber führt und betriebliche Aufzeichnungen über jeden Zugriff führt.
• Punkte 10, 11 und 13 (alle Kategorien): Least Privilege, Trennung der Verantwortlichkeiten (zásada oddeľovania zodpovedností) und Need-to-know. Punkt 11 formuliert die Trennung der Verantwortlichkeiten so: Kein Benutzer darf die Assets des Verwalters ohne Autorisierung oder Identitätsprüfung verändern oder nutzen.
• Punkte 85 und 86 (alle Kategorien): eine Liste aller Beschäftigten, die an der Verwaltung von ISVS und ITVS arbeiten, sowie formalisierte Prozesse für das Zuweisen, Ändern und Entziehen von Positionen für Benutzer, Administratoren und Beschäftigte Dritter.
• Punkt 87 (Kategorien II und III): Regeln für die Zuordnung von Personen zu Rollen.
• Punkt 97 (Kategorien II und III): Multi-Faktor-Authentifizierung für den Fernzugriff.
• Punkt 58 (Kategorien II und III): für jedes ISVS-Projekt eine Person, die die Sicherheitspflichten des Dienstleisters überwacht, insbesondere Listen autorisierter Personen und die Zuweisung von Fernzugriffen.
• Punkt 73 (alle Kategorien): ein internes Kontrollsystem mit einer Liste der Kontrollen, verantwortlichen Personen, Häufigkeit und einem Register der durchgeführten Kontrollen. Nach unserer Lesart gehört die jährliche Rezertifizierung auf diese Liste.
• Punkte 137 bis 141: ein System zur Protokollerfassung und Überwachung (137 bis 139, alle Kategorien), relevante Protokolle, die mindestens 12 Monate mit Integritätsschutz aufbewahrt werden (140, Kategorien II und III), und Aktivitätsaufzeichnungen, aus denen hervorgeht, wer die Aktivität ausgeführt hat (141, Kategorien II und III).

Was sich gegenüber der Verordnung 179/2020 geändert hat

Die Verordnung 179/2020 ordnete ihre Zugriffsregeln im Bereich D, Riadenie prístupov, als getrennte Listen je Kategorie. Die Verordnung 184/2026 verwendet eine Tabelle mit Kategoriespalten. Der Wortlaut ist neu, der Vergleich unten erfolgt daher nach Thema und nicht als Eins-zu-eins-Zuordnung.

Nach unserer Lesart beider Texte besteht die wichtigste neue Arbeit für eine Gemeinde der Kategorie I in den Punkten 99 bis 101; für die Kategorien II und III sind die wichtigsten Änderungen die Punkte zu Lebenszyklus und Systemkonten, die Erkennung und Invalidierung ungenutzter Konten, die Aufbewahrung der Aufzeichnung über die Rezertifizierung und die längere Aufbewahrung von Protokollen. Organisationen, die die halbjährliche Überprüfung privilegierter Zugriffe nach 179/2020 befolgt haben, können sie beibehalten: § 1 Abs. 2 der neuen Verordnung verlangt Maßnahmen mindestens auf dem Niveau der Mindestmaßnahmen, und § 4 Abs. 1 erlaubt dokumentierte Maßnahmen über das Minimum hinaus.

Wo IGA diese Punkte unterstützt

Identity Governance and Administration (IGA) ist Software, die verwaltet, wer Zugriff auf welche Anwendungen hat, wer ihn genehmigt hat und ob er noch benötigt wird. Nach unserer Einschätzung unterstützt sie für die Systeme, an die sie angebunden ist, die Punkte 100, 101, 103 und 105 am direktesten und trägt zu den Punkten 99, 102, 106 und 107 bei. Die Verordnung nennt keine Produktkategorie; ein IGA-Werkzeug ist also eine Möglichkeit, die „Mechanismen und Werkzeuge“ aus Punkt 101 bereitzustellen, nicht selbst eine gesetzliche Anforderung.

easyIGA ist eine fachlich ausgerichtete IGA-Ebene auf Basis der Plattform midPoint; midPoint ist open source. Für die Punkte oben leistet easyIGA heute Folgendes:

• Lebenszyklus über midPoint: midPoint verbindet maßgebliche Identitätsdaten mit konfigurierten Richtlinien und Zielsystemen, sodass Eintritte, Wechsel und Austritte über konfigurierte Integrationen laufen (Punkt 103). easyIGA ergänzt verständliche Anfragen, Entscheidungen und Rezertifizierungen.
• Anfragen und Genehmigungen: Mitarbeitende wählen Zugriff aus einem verständlichen Katalog, und Ihre Organisation legt fest, wer jede Berechtigung beantragen darf und wer sie genehmigt. Erfasste Genehmigungsstufen bleiben in ihrer Reihenfolge erhalten, jeweils mit protokollierter entscheidender Person und Zeitpunkt; das gibt Punkt 105 den genehmigten Stand, mit dem verglichen wird. Siehe Zugriffsanfragen.
• Rezertifizierungen: Die prüfende Person sieht die Person und den zu prüfenden Zugriff mit letzter Nutzung, „Gewährt von“ und „Genehmigt von“, wenn die angebundenen Systeme und die erfasste Genehmigungshistorie diese Angaben liefern. Beibehalten und Entziehen von Zugriff sind beides protokollierte Entscheidungen. Siehe Rezertifizierungen.
• Entzüge bis zum Ergebnis nachverfolgt: easyIGA unterscheidet die Ergebnisse verifiziert, ausstehend, fehlgeschlagen und unbekannt, sodass ein in der Rezertifizierung beschlossener Entzug erst als erledigt gilt, wenn das angebundene System ihn bestätigt.
• Fehlende Historie bleibt sichtbar: Eine direkte Vergabe ohne passende easyIGA-Anfrage wird als außerhalb von easyIGA gewährt gekennzeichnet, mit dem erstellenden Konto, dem Kanal und dem Zeitpunkt, die midPoint protokolliert hat. easyIGA rekonstruiert keine Entscheidungen, die nie erfasst wurden.
• Konten ohne verantwortliche Person: Der Abgleich von Konten in angebundenen Systemen mit Identitätsdatensätzen hilft, Lücken bei der Verantwortlichkeit zu erkennen, auch bei Servicekonten; das unterstützt den Teil der Punkte 99 und 105, der technische Konten betrifft. Welche Ansicht verfügbar ist, hängt vom Kontotyp, der angebundenen Quelle und dem unterstützten Workflow ab; das klärt unser Team mit Ihnen. Siehe verwaiste Konten und nicht-menschliche Identitäten.
• Konfliktbehafteter Zugriff: easyIGA zeigt das Ergebnis der in midPoint konfigurierten Ausschlussrichtlinien auf der Genehmigungskarte an. Das Erstellen und Simulieren dieser Regeln in easyIGA ist geplant, heute nicht verfügbar. Siehe Funktionstrennung.
• Nachweise: Nachweisexporte der Rezertifizierung enthalten die verfügbare Anfrage- und Genehmigungshistorie; Aufbewahrungsfristen und der Zugang zu diesen Aufzeichnungen werden für Ihre Bereitstellung vereinbart. Siehe Audit-Nachweise.

Die Bereitstellung erfolgt standardmäßig selbst gehostet, auf Ihrer Infrastruktur und in Ihrem Rechtsraum. Für Organisationen ohne geeignete Infrastruktur ist auf Anfrage eine in der EU gehostete Bereitstellung verfügbar, die unser Team betreibt (Bereitstellungsoptionen). Wie das über Abteilungen, Shared Services und Dienstleister hinweg funktioniert, beschreibt Access Governance im öffentlichen Sektor.

Was IGA für die Verordnung 184/2026 nicht leistet

Ein IGA-Werkzeug deckt einen Teil des Identitätsbereichs ab. Planen Sie den Rest ausdrücklich.

• Authentifizierung. Punkt 99 Buchst. c), die Punkte 109 und 110 sowie die Multi-Faktor-Authentifizierung für den Fernzugriff nach Punkt 97 gehören zu Ihrem Identity Provider, Ihren Anwendungen und Ihren Benutzerregeln. Eine Genehmigung in easyIGA beweist nicht, dass Multi-Faktor-Authentifizierung verwendet wurde.
• Aufzeichnung jeder Nutzung einer Berechtigung. Punkt 102 verlangt Technologien, die die Nutzung von Zugriffsberechtigungen aufzeichnen, Punkt 3 verlangt betriebliche Aufzeichnungen über jeden Zugriff, und die Punkte 137 bis 141 verlangen Protokollerfassung und -aufbewahrung. Das liefern Anwendungs-, Authentifizierungs- und Netzwerkprotokolle. easyIGA zeigt die letzte Nutzung nur, wenn ein angebundenes System sie liefert, und ein Zugriffseintrag zeigt nicht jede Aktion, die innerhalb einer Anwendung ausgeführt wurde.
• Überwachung nicht vertrauenswürdiger Zugriffe. Punkt 111 braucht Fernzugriffs- und Netzwerkkontrollen mit Überwachung.
• Privilegierte Sitzungen. Für Punkt 107 kann IGA steuern, wer eine privilegierte Rolle erhält. Das Kontrollieren oder Aufzeichnen privilegierter Sitzungen braucht separate Werkzeuge.
• Nicht angebundene Systeme. Die Punkte 99 bis 101 erfassen alle ISVS und ITVS. Ein Konnektor unterstützt je nach Anwendung und ihrer Konfiguration unterschiedliche Operationen, und unser Team klärt beim Entwurf der Integration, welche Operationen Sie brauchen. Ein System ohne Integration braucht weiterhin einen eigenen Eintrag im Inventar und einen eigenen Weg, das Register zu befüllen.
• Ihre Entscheidungen. Der Schwellenwert für ungenutzte Konten, der Umfang der Rezertifizierung, die Aufbewahrungsfrist und jede Abweichung nach § 2 Abs. 3 sind Entscheidungen für Ihre Dokumentation, genehmigt nach § 2 Abs. 4.
• Compliance selbst. Ein Produkt stellt keine Compliance her. Die Qualität jeder Rezertifizierung hängt auch von den Quelldaten ab: Eine falsche Führungskraft oder ein fehlendes Enddatum in den HR-Daten wird durch eine bessere Rezertifizierungsansicht nicht behoben.

Checkliste für die Übergangsfrist bis zum 30. Juni 2027

1. Bestätigen Sie Ihre Kategorie nach § 1 Abs. 4 bis 6 der Verordnung und ob Sie nach § 17 Abs. 1 Buchst. g) des Gesetzes Nr. 69/2018 als Betreiber wesentlicher Dienste registriert sind.
2. Vergleichen Sie Ihre aktuellen Maßnahmen nach 179/2020 mit den Punkten 99 bis 111 und listen Sie auf, was für Ihre Kategorie neu ist.
3. Benennen Sie die nach Punkt 3 für den Benutzerzugriff verantwortliche Person.
4. Erstellen Sie das Inventar nach Punkt 99 aus dem Asset-Verzeichnis: für jedes ISVS und ITVS Identitätsquelle, Identitätstypen, technische Konten, Administratoren, Dritte und Authentifizierungsmethode.
5. Erstellen Sie das Register der Benutzer, Kennungen und Autorisierungen nach Punkt 100 und entscheiden Sie, wie es aktuell gehalten wird.
6. Halten Sie die Entscheidung nach Punkt 101 fest: welcher Mechanismus oder welches Werkzeug die Identitäten und Zugriffe jedes Systems verwaltet.
7. Geben Sie jedem technischen Konto und jedem Systemkonto eine verantwortliche Person und einen Zweck.
8. Definieren Sie für die Kategorien II und III Rollen und die Regeln für die Zuordnung von Personen zu diesen Rollen (Punkte 106 und 87).
9. Definieren Sie für die Kategorien II und III den Schwellenwert für ungenutzte Konten je Kontotyp und den Ausnahmeprozess.
10. Führen Sie für die Kategorien II und III die Rezertifizierung nach Punkt 105 mindestens einmal jährlich durch und verfolgen Sie jeden Entzug bis zu einem bestätigten Ergebnis.
11. Bewahren Sie jede Aufzeichnung über die Rezertifizierung mindestens bis zum Abschluss des nächsten Audits oder der nächsten Selbstbewertung auf.
12. Dokumentieren Sie jede Abweichung nach § 2 Abs. 3 und 4 und holen Sie dafür die schriftliche Genehmigung ein.
13. Weisen Sie Verantwortliche für Authentifizierung, Protokollierung, Fernzugriff und andere Kontrollen außerhalb von IGA zu.

Häufige Fragen

Gilt die Verordnung 184/2026 für kleine Gemeinden?

Ja. Eine Gemeinde mit bis zu 6.000 Einwohnern gehört nach § 1 Abs. 4 Buchst. a) zu Kategorie I. Im Identitätsbereich muss sie die Punkte 99, 100 und 101 erfüllen; die Punkte 102 bis 111 gehören nicht zu ihrem Minimum.

Ist die jährliche Rezertifizierung für Kategorie I verpflichtend?

Nicht nach Punkt 105, der nur für die Kategorien II und III gekennzeichnet ist. Eine Organisation der Kategorie I kann sich aufgrund ihrer Risikoanalyse dennoch für eine Rezertifizierung entscheiden, und die Punkte 99 und 100 verlangen, dass Inventar und Benutzerliste definiert, kontrolliert und geführt werden.

Sind technische Konten und Servicekonten erfasst?

Ja. Punkt 99 Buchst. b) nennt technische Konten (technické účty) und Administratoren, und die Punkte 103 und 104 nennen Systemkonten (systémové účty). Geben Sie jedem dieser Konten eine verantwortliche Person, die seinen Zweck bestätigen kann.

Was gilt zwischen dem 1. Januar und dem 30. Juni 2027?

Die Verordnung 184/2026 ist in diesem Zeitraum bereits in Kraft, aber nach § 5 Abs. 1 gelten die Mindestmaßnahmen Ihrer Kategorie als getroffen, wenn Sie die Maßnahmen Ihrer Kategorie nach Anlage 2 der Verordnung 179/2020 in der bis 31. Dezember 2026 geltenden Fassung getroffen haben. Ab dem 1. Juli 2027 gilt diese Fiktion nicht mehr, sodass die neuen Punkte erfüllt sein müssen.

Verlangt die Verordnung ein IGA- oder IDM-Produkt?

Es wird kein Produkt genannt. Punkt 101 verlangt Mechanismen und Werkzeuge für das Identitäts- und Zugriffsmanagement für alle ISVS und ITVS. Ein IGA-Werkzeug ist eine Möglichkeit, sie bereitzustellen; 179/2020 hatte ein zentrales Identitätsmanagement nur in Kategorie III verlangt.

Wir sind auch Betreiber wesentlicher Dienste. Welche Verordnung gilt?

Beide können gelten. § 18 Abs. 2 des Gesetzes Nr. 95/2019 verlangt von einem Verwalter, der Betreiber wesentlicher Dienste ist, ITVS-Maßnahmen nach diesem Gesetz und zugleich im Umfang und unter den Bedingungen der in seiner Fußnote genannten besonderen Rechtsvorschrift, § 20 Abs. 4 des Gesetzes Nr. 69/2018, zu treffen und umzusetzen; den Inhalt der Sicherheitsmaßnahmen nach dem Gesetz Nr. 69/2018 legt die NBÚ-Verordnung 227/2025 fest. Klären Sie die Kombination mit dem NBÚ und dem MIRRI und erwägen Sie eine jährliche Rezertifizierung, die für Punkt 80 und Punkt 105 gemeinsam ausgelegt ist.

Wo ist der verbindliche Text?

Slov-Lex weist darauf hin, dass sein HTML-Text informativ ist und das PDF rechtsverbindlich. Das PDF der Verordnung 184/2026 einschließlich Anlage 2 mit den Kategoriespalten ist unten in den Quellen verlinkt.

Den größeren Zusammenhang zeigt unsere Übersicht zur Zugriffskontrolle nach NIS2.

Quellen und Prüfvermerk

Alle Quellen wurden am 21. Oktober 2026 geprüft. Der Wortlaut der Punkte und die Kategoriespalten wurden gegen das verbindliche PDF geprüft.

• Ministerstvo investícií, regionálneho rozvoja a informatizácie SR: Vyhláška č. 184/2026 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy, erlassen am 1. Juli 2026, veröffentlicht am 9. Juli 2026, in Kraft ab 1. Januar 2027. Verbindliches PDF mit Anlagen; PDF der Anlage 2. Verwendet: §§ 1, 2, 3, 5, 6, 7; Anlage 2 Punkte 3, 10, 11, 13, 58, 73, 85, 86, 87, 97, 99 bis 111, 137 bis 141.
• Národná rada Slovenskej republiky: Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe, konsolidierte Fassung, gültig vom 30. April 2026 bis 31. Dezember 2026. Eine weitere Fassung, gültig ab 1. Januar 2027 (ebenfalls aus dem Gesetz Nr. 67/2026), ändert die §§ 3 und 11, nicht die hier verwendeten Paragraphen. Verwendet: §§ 1, 2, 5, 18, 31.
• Národná rada Slovenskej republiky: Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, konsolidierte Fassung, gültig ab 30. April 2026; am 21. Oktober 2026 war auf Slov-Lex keine spätere Fassung gelistet. Verwendet: §§ 17, 20, 29, 32.
• Národná rada Slovenskej republiky: Zákon č. 67/2026 Z. z., verabschiedet am 16. April 2026, veröffentlicht am 30. April 2026. Verwendet: Artikel III (neue Fassung von § 17 Abs. 1 Buchst. g) des Gesetzes Nr. 69/2018) und Artikel IV.
• Úrad podpredsedu vlády SR pre investície a informatizáciu: Vyhláška č. 179/2020 Z. z., erlassen am 22. Juni 2020, gültig vom 30. Juni 2020 bis 31. Dezember 2026. Verbindliches PDF. Verwendet: § 3; Anlage 2 Bereiche D und K.
• Národný bezpečnostný úrad: Vyhláška č. 227/2025 Z. z. o bezpečnostných opatreniach, in Kraft seit 1. September 2025. PDF der Anlage 1. Verwendet: Verweis auf § 32 Abs. 1 Buchst. b) in der Präambel; Anlage 1 Punkte 76 bis 87 und ihre Spalten für den Vergleich.