Was die NBÚ-Verordnung 227/2025 für das Identitäts- und Berechtigungsmanagement verlangt

Ein neues Regelwerk für Sicherheitsmaßnahmen gilt für slowakische Betreiber wesentlicher Dienste seit dem 1. September 2025. Die Verordnung des Nationalen Sicherheitsamts (NBÚ) Nr. 227/2025 Slg. hat die Verordnung 362/2018 abgelöst und die Sicherheitsmaßnahmen in eine Tabelle mit 151 nummerierten Punkten gefasst. Zwölf davon, die Punkte 76 bis 87, bilden den Bereich Identitäts- und Zugriffsmanagement (slowakisch správa identít a prístupov).

Der Punkt mit den meisten operativen Details ist Punkt 80. Mindestens einmal jährlich muss der Betreiber die Zugriffskonten und Zugriffsberechtigungen überprüfen (eine Rezertifizierung von Berechtigungen, auch Zugriffsüberprüfung oder Access Review genannt), die Übereinstimmung der genehmigten Berechtigungen mit dem tatsächlichen Stand ihrer Ausübung kontrollieren, ungenutzte Konten erkennen und invalidieren sowie eine Aufzeichnung über die Überprüfung mindestens vom Ende des letzten Audits bis zum Ende des nächsten Audits oder der nächsten Selbstbewertung aufbewahren.

Kurze Antwort: Die Verordnung 227/2025 erwartet von Ihnen, dass Sie jedes Benutzer- und Systemkonto über seinen gesamten Lebenszyklus mit Technologie zur Verwaltung von Zugriffsrechten steuern, Konten und Berechtigungen mindestens jährlich überprüfen, ungenutzte Konten invalidieren und eine Aufzeichnung über diese Überprüfung aufbewahren, die im Audit eingesehen werden kann. Welche der zwölf Punkte gelten, hängt davon ab, ob Sie kritischer Betreiber sind und ob es sich bei dem System um IT oder um Betriebstechnik (Operational Technology, OT) handelt.

Dieser Leitfaden erläutert jeden der Punkte 76 bis 87 und beschreibt, wie Sie die jährliche Rezertifizierung durchführen und dokumentieren, was sich gegenüber der vorherigen Verordnung geändert hat und wie die Verordnung 184/2026 für die öffentliche Verwaltung damit zusammenhängt. Er beruht auf den amtlichen Texten auf Slov-Lex, geprüft am 21. Oktober 2026. Er ist eine praktische Orientierungshilfe und keine Rechtsberatung. Ihr rechtlicher Geltungsbereich, Ihre Risikoanalyse und Ihr Auditplan bleiben Entscheidungen Ihrer Organisation.

Wie sich die Verordnung in das slowakische Cybersicherheitsrecht einfügt

Die Pflicht beginnt im Gesetz Nr. 69/2018 Slg. über Cybersicherheit. § 20 Abs. 2 nennt die Bereiche, in denen Sicherheitsmaßnahmen zu ergreifen sind, und Buchstabe j) lautet správu identít a prístupov, das Identitäts- und Zugriffsmanagement. § 32 Abs. 1 Buchst. b) ermächtigt das NBÚ, den Inhalt der Maßnahmen durch Verordnung festzulegen, und die Verordnung 227/2025 ist diese Verordnung. Ihre Anlage 3 erklärt, dass sie die NIS2-Richtlinie, die Richtlinie (EU) 2022/2555, umsetzt.

NIS2 wurde durch das Gesetz Nr. 366/2024 Slg., in Kraft seit dem 1. Januar 2025, in das Gesetz umgesetzt. Zwei spätere Änderungen folgten, zuletzt durch das Gesetz 67/2026 Slg. Am 21. Oktober 2026 ist die neueste konsolidierte Fassung auf Slov-Lex die seit dem 30. April 2026 geltende, und die unten zitierten Bestimmungen stammen aus dieser Fassung.

Zwei Fristenregeln des Gesetzes sind für die Planung wichtig. Nach § 19 Abs. 1 muss ein Betreiber die Maßnahmen innerhalb von 12 Monaten nach seiner Eintragung in das Register der Betreiber wesentlicher Dienste ergreifen. Nach § 29 Abs. 1 muss er ihre Wirksamkeit innerhalb von zwei Jahren nach der Eintragung durch ein Cybersicherheitsaudit überprüfen; ein Betreiber, der kein kritischer Betreiber ist, kann diese erste Frist durch eine Selbstbewertung über das einheitliche Informationssystem für Cybersicherheit erfüllen, in der durch § 29 Abs. 8 festgelegten Weise.

Wer Betreiber eines wesentlichen Dienstes ist und wer als kritisch gilt

Die Verordnung richtet sich an den prevádzkovateľ základnej služby (PZS), den Betreiber eines wesentlichen Dienstes, den das NBÚ nach § 17 des Gesetzes registriert. Das Register umfasst unter anderem zentrale staatliche Behörden, kritische Einrichtungen, mittlere und größere Organisationen, die in den Sektoren der Anlagen 1 und 2 des Gesetzes tätig sind, Städte, deren Störung die öffentliche Ordnung, Sicherheit oder Gesundheit erheblich beeinträchtigen könnte, und seit dem 30. April 2026 Verwalter von IT der öffentlichen Verwaltung, für die Maßnahmen der Kategorie II oder III gelten.

Manche Betreiber sind zugleich ein prevádzkovateľ kritickej základnej služby (PKZS), ein Betreiber eines kritischen wesentlichen Dienstes. § 18 zählt die kritischen Dienste auf, und § 18 Abs. 2 bestimmt, dass ein Betreiber, der mindestens einen davon erbringt, kritischer Betreiber ist. Betreiber, die nach den vor 2025 geltenden Regeln registriert wurden, gelten nach der Übergangsvorschrift des § 34b Abs. 1 als kritische Betreiber, sofern das NBÚ nicht bis zum 31. Dezember 2026 nach § 34b Abs. 2 anders entscheidet.

Dieselbe Übergangsvorschrift enthält zwei Optionen mit einer Laufzeit bis zum 31. Dezember 2026. Nach § 34b Abs. 5 kann ein Betreiber, der nach § 34b Abs. 1 als kritisch gilt, bis zu diesem Datum die nach den seit dem 1. Januar 2025 geltenden Regeln erforderlichen Sicherheitsmaßnahmen auch dadurch ergreifen und umsetzen, dass er die Sicherheitsmaßnahmen nach den bis zum 31. Dezember 2024 geltenden Regeln ergreift und umsetzt; § 8 der Verordnung 227/2025 bestimmt ausdrücklich, dass § 34b Abs. 5 des Gesetzes von ihr unberührt bleibt. Nach § 34b Abs. 7 kann ein solcher Betreiber bis zum selben Datum sein Audit nach den bis zum 31. Dezember 2024 geltenden Regeln durchführen. Nutzt Ihre Organisation eine der beiden Optionen, empfehlen wir, diese Entscheidung in der Sicherheitsdokumentation festzuhalten, denn beide Optionen enden mit dem Jahr 2026.

Für das Identitäts- und Zugriffsmanagement entscheidet diese Unterscheidung darüber, welche Punkte gelten. Anlage 1 der Verordnung kennzeichnet jeden Punkt in vier Spalten: PZS und PKZS, jeweils für Informations- und Kommunikationstechnologie (IKT) und für Betriebstechnik (OT). Mehrere Punkte des Identitätsbereichs gelten nur für einige dieser Spalten.

Das Gesetz ergänzt zwei Hinweise zum Geltungsbereich. Anbieter der in § 2 Abs. 2 genannten Dienste, zum Beispiel Cloud-Computing, Rechenzentrums- und Managed Services, wenden nach dem letzten Satz des § 19 Abs. 1 die Sicherheitsmaßnahmen der Durchführungsverordnung (EU) 2024/2690 der Kommission an. Betreiber im Anwendungsbereich der Verordnung (EU) 2022/2554 (DORA) überprüfen die Wirksamkeit ihrer Maßnahmen nach jener Verordnung, durch eine zertifizierte Auditorin oder einen zertifizierten Auditor (§ 29 Abs. 9). Trifft eine der beiden Regelungen auf Sie zu, klären Sie mit Ihrer Rechtsberatung, welche Maßnahmen Sie anwenden.

Die Risikoanalyse bestimmt den Umfang, und Lücken müssen begründet werden

Anlage 1 wird über die Risikoanalyse angewendet. § 3 Abs. 2 der Verordnung sagt, der Umfang der allgemeinen Maßnahmen in Anlage 1 „wird auf der Grundlage der Risikoanalyse festgelegt“. § 4 Abs. 1 Buchst. f) verlangt, dass die Sicherheitsdokumentation festhält, wie die Maßnahmen ergriffen und durchgeführt werden, einschließlich der Begründung, wenn eine Maßnahme nicht ergriffen wird, und § 5 Abs. 1 Buchst. e) verlangt, dass das Risikomanagement angibt, welche Maßnahmen ergriffen werden und welche nicht, mit den Gründen. Nach unserer Lesart kann im Audit deshalb entweder der Nachweis verlangt werden, dass ein anwendbarer Punkt umgesetzt ist, oder eine dokumentierte Begründung, warum er es nicht ist.

Die Punkte 76 bis 87, zugeordnet zu Kontrollen und Nachweisen

Die Tabelle fasst jeden Punkt in Alltagssprache zusammen, zeigt, wo die Verordnung ihn als anwendbar kennzeichnet, und schlägt eine praktische Kontrolle sowie die aufzubewahrenden Nachweise vor. Die Spalten zu Kontrolle und Nachweisen sind unsere Empfehlungen. Die Verordnung schreibt Ergebnisse vor und überlässt Ihnen die Wahl der Werkzeuge.

Lesen Sie die Spalte „Gilt für“ genau. Punkt 81 ist für nicht kritische Betreiber in der IT nicht gekennzeichnet, und die Punkte 77, 86 und 87 sind auf die OT oder auf kritische Betreiber beschränkt. Eine Risikoanalyse kann trotzdem dazu führen, dass Sie sie ergreifen, denn § 7 Abs. 1 der Verordnung verlangt, dass die Maßnahmen alle in der Risikoanalyse ermittelten Risiken behandeln.

Fünf verwandte Punkte außerhalb des Identitätsbereichs

Einige Anforderungen, für die Identitäts- und Zugriffsteams zuständig sind, stehen in anderen Bereichen der Anlage 1. Alle fünf unten genannten Punkte sind für jede Spalte gekennzeichnet.

• Punkt 2 (Bereich Organisation) verlangt eine benannte Person, die für die Verwaltung des Benutzerzugriffs auf die Netz- und Informationssysteme, für die Erteilung und den Entzug von Zugriffsrechten, für die Führung eines Registers dieser Rechte und für betriebliche Aufzeichnungen über jeden Zugriff verantwortlich ist.
• Punkt 6 verlangt den Grundsatz der minimalen Berechtigung (Least Privilege).
• Punkt 7 verlangt den Grundsatz der Trennung von Zuständigkeiten (zásada oddeľovania zodpovedností). Die Verordnung definiert ihn eng: Keine Benutzerin und kein Benutzer darf die Assets des Betreibers ohne Autorisierung oder Identitätsverifizierung verändern oder nutzen. Unvereinbare Kombinationen von Berechtigungen zählt sie nicht auf. Wir empfehlen, solche Kombinationen dort zu definieren, wo Ihre Prozesse sie brauchen; die Verordnung überlässt Ihnen diese Entscheidung.
• Punkt 9 verlangt den Zugriff auf Informationen nach dem Need-to-know-Prinzip.
• Punkt 19 verlangt, dass Mitarbeitende und externes Personal alle ihnen anvertrauten Assets nachweislich zurückgeben, wenn sich ihr Beschäftigungsverhältnis oder ihr Vertrag ändert oder endet.

Auch Punkt 64 (Regeln für die Zuweisung von Personen zu Arbeitsrollen) und Punkt 73 (Multi-Faktor-Authentifizierung für den Fernzugriff) hängen direkt mit dem Identitätsbereich zusammen.

Die jährliche Rezertifizierung nach Punkt 80 durchführen

Punkt 80 ist ein einziger Satz. Nach unserer Lesart verbindet er vier verschiedene Aufgaben, und jede davon kann im Audit einzeln geprüft werden; deshalb schlagen wir vor, sie getrennt zu planen.

Erst den Umfang festlegen, dann Daten sammeln

Die Verordnung spricht von prístupové účty (Zugriffskonten) und prístupové oprávnenia (Zugriffsberechtigungen), und der Punkt gilt für jeden Betreiber sowohl für IT als auch für OT. Welche Systeme einzubeziehen sind, zählt er nicht auf. Nach unserer Lesart übernehmen das Ihre Risikoanalyse und Ihr Asset-Verzeichnis, denn § 6 der Verordnung verlangt ein zentral geführtes Asset-Verzeichnis, in dem die für die Assets verantwortlichen Personen erfasst sind.

Wir empfehlen, für jedes System im Umfang einzubeziehen:

• persönliche Benutzerkonten von internen und externen Mitarbeitenden;
• Administrator- und andere privilegierte Konten;
• System- und Servicekonten, denn die Punkte 78 und 79 erfassen ausdrücklich systémové účty;
• Konten von Beschäftigten Dritter und von Lieferanten.

Halten Sie den Umfang schriftlich fest, mit dem Datum der Rezertifizierung und dem Grund, warum ein System ausgelassen wurde. Eine Rezertifizierung, die ein System stillschweigend überspringt, lässt sich schwer verteidigen.

Den genehmigten Stand mit dem tatsächlichen Stand vergleichen

Die Verordnung verlangt, „die Übereinstimmung der genehmigten Berechtigungen mit dem tatsächlichen Stand der Ausübung der Berechtigungen“ zu überprüfen. Dafür braucht es zwei Datenbestände: den genehmigten Stand und den tatsächlichen Stand. Der tatsächliche Stand kommt aus den Zielsystemen. Der genehmigte Stand kommt aus Anfragen, Genehmigungen und Rollendefinitionen. Wenn Genehmigungen in E-Mails oder in einem Ticketsystem liegen, ohne Verknüpfung mit der Berechtigung, erfordert dieser Schritt die meiste Vorbereitung.

Für jedes Konto sollte die prüfende Person sehen können, wer es innehat, welche Berechtigungen es trägt, woher jede Berechtigung stammt und wann sie zuletzt genutzt wurde. Fehlt eine dieser Angaben, sollte die Aufzeichnung über die Rezertifizierung das festhalten, statt die Lücke zu füllen. Eine Berechtigung, die niemand auf eine Genehmigung zurückführen kann, ist für sich genommen eine Feststellung.

Ungenutzte Konten finden und invalidieren

Punkt 80 verlangt die „Erkennung und anschließende Invalidierung ungenutzter Zugriffskonten“. Wann ein Konto als ungenutzt gilt, definiert die Verordnung nicht. Legen Sie den Schwellenwert selbst in Ihrer Zugriffsrichtlinie fest, zum Beispiel eine Anzahl von Tagen ohne erfolgreiche Anmeldung je Kontotyp, und wenden Sie ihn einheitlich an.

Daten zur letzten Anmeldung liefert nicht jedes System, und manche legitimen Konten werden selten genutzt, etwa Notfall-Administratorkonten (Break-Glass) und Servicekonten für jährliche Jobs. Behandeln Sie diese als Ausnahmen mit einer verantwortlichen Person und einer Begründung, nicht als automatische Löschungen. Klären Sie bei Servicekonten die Abhängigkeit, bevor Sie etwas deaktivieren, denn ein Geschäftsprozess kann davon abhängen.

Die vorherige Verordnung verlangte trvalé zablokovanie, eine dauerhafte Sperrung. Die Verordnung 227/2025 verwendet zneplatnenie, Invalidierung. Ob Invalidierung Deaktivieren oder Löschen bedeutet, sagt sie nicht. Wir empfehlen, zuerst zu deaktivieren, das Datum festzuhalten und nach Ihren Aufbewahrungsregeln zu löschen, damit die Kontohistorie für Untersuchungen verfügbar bleibt.

Die Aufzeichnung erstellen und lange genug aufbewahren

Die Verordnung verlangt eine Aufzeichnung (záznam) über die Überprüfung, aufbewahrt „mindestens für den Zeitraum vom Ende des letzten Audits bis zum Ende des folgenden Audits oder der folgenden Selbstbewertung“. Dieselbe Aufbewahrungsformel findet sich in anderen Punkten der Anlage 1, zum Beispiel in Punkt 28 zu Backup-Tests.

Die Auditregeln stammen aus der Verordnung Nr. 493/2022 Slg., geändert durch die Verordnung Nr. 212/2026 Slg., in Kraft seit dem 1. September 2026. Nach dem geänderten Text gilt:

• ein Audit endet mit der Übergabe des Abschlussberichts an den Betreiber und darf höchstens 12 aufeinanderfolgende Monate dauern (§ 2 Abs. 5);
• ein Audit muss bis zum Ende des dritten Kalenderjahres nach dem Jahr, in dem das letzte Audit endete, durchgeführt und abgeschlossen sein (Anlage 2, Teil B, Nr. 1 Buchst. a);
• ein nicht kritischer Betreiber, der die Selbstbewertung nach § 29 Abs. 8 des Gesetzes nutzt, führt sie alle zwei Jahre durch, und seine Auditfrist wird zum Ende des fünften Kalenderjahres nach dem Jahr, in dem das letzte Audit endete (Anlage 2, Teil B, Nr. 1 Buchst. b und Nr. 3);
• ein Audit wird außerdem nach jeder wesentlichen Änderung durchgeführt, innerhalb von sechs Monaten, nachdem die Änderung eine wesentliche Auswirkung auf die umgesetzten Maßnahmen hatte (Anlage 2, Teil B, Nr. 2);
• der Bericht über die Selbstbewertung muss unter anderem eine Liste der erfassten Nachweise enthalten (§ 2 Abs. 6);
• ein bis zum 31. August 2026 begonnenes und nicht abgeschlossenes Audit wird nach den bisherigen Regeln abgeschlossen, und ein bis zum 31. Dezember 2026 begonnenes Audit darf noch den bisherigen Regeln folgen (neuer § 3a).

Ein durchgerechnetes Beispiel nach unserer eigenen Lesart dieser Regeln: Wenn Ihr letztes Audit 2025 endete und keine wesentliche Änderung ein früheres Audit auslöst, muss das nächste Audit nach Nr. 1 Buchst. a) bis zum 31. Dezember 2028 enden; ein nicht kritischer Betreiber, der sich alle zwei Jahre selbst bewertet, hat nach Nr. 1 Buchst. b) Zeit bis zum 31. Dezember 2030. Eine 2026 erstellte Aufzeichnung über die Rezertifizierung muss dann mindestens bis zum Ende dieses nächsten Audits erhalten bleiben. Weil die Verordnung „Audit oder Selbstbewertung“ sagt, ließe sich das Zeitfenster eines nicht kritischen Betreibers auch so lesen, dass es früher schließt, bei der nächsten Selbstbewertung. Wir empfehlen, jede jährliche Aufzeichnung mindestens bis zum Ende des nächsten Audits aufzubewahren, nicht nur bis zur nächsten Selbstbewertung, denn das ist die Lesart ohne Lücke. Die Übergangsoptionen des § 34b des Gesetzes und des § 3a der Verordnung 493/2022 können diese Daten für einen bestimmten Betreiber verschieben; prüfen Sie sie deshalb anhand Ihrer eigenen Audithistorie.

Nach unserer Empfehlung enthält eine brauchbare Aufzeichnung mindestens:

1. das Datum der Rezertifizierung und die verantwortliche Person (Punkt 2 der Anlage 1);
2. den Umfang: Systeme, Kontotypen und Grundgesamtheit, mit dokumentierten Ausschlüssen;
3. die Prüfenden und was jede Person geprüft hat;
4. jede Entscheidung zum Behalten oder Entziehen, mit Datum;
5. den angewendeten Schwellenwert für ungenutzte Konten und die gefundenen Konten;
6. das Ergebnis jedes Entzugs im Zielsystem, einschließlich fehlgeschlagener oder noch ausstehender Entzüge;
7. offene Punkte, ihre verantwortlichen Personen und Fristen.

Was sich gegenüber der Verordnung 362/2018 geändert hat

Die Zugriffskontrollregeln der aufgehobenen Verordnung 362/2018 standen in § 8 Abs. 4. Der folgende Vergleich zitiert die seit dem 1. September 2023 geltende Fassung und Anlage 1 der Verordnung 227/2025.

Die jährliche Häufigkeit und der Abgleich der genehmigten Berechtigungen mit dem tatsächlichen Stand standen schon in der alten Verordnung. Für eine Organisation, die bereits eine jährliche Rezertifizierung durchführt, zeigt die Tabelle die wichtigsten Änderungen: auf Systemkonten ausweiten, die Spalten für OT und kritische Betreiber prüfen und die Aufbewahrungsfrist der Aufzeichnung festlegen. Die oben beschriebene Übergangsoption in § 34b Abs. 5 des Gesetzes erlaubt es einem Betreiber, der nach § 34b Abs. 1 als kritisch gilt, sich nur bis zum 31. Dezember 2026 auf die alten Maßnahmen zu stützen.

Öffentliche Verwaltung und die MIRRI-Verordnung 184/2026

Verwalter von Informationstechnologien der öffentlichen Verwaltung (informačné technológie verejnej správy, ITVS) haben ein zweites Regelwerk. Die Verordnung Nr. 184/2026 Slg. des Ministeriums für Investitionen, Regionalentwicklung und Informatisierung (MIRRI) wurde am 1. Juli 2026 erlassen und tritt in Kraft am 1. Januar 2027. Sie hebt die Verordnung 179/2020 auf (§ 6) und teilt die Mindestsicherheitsmaßnahmen in die Kategorien I, II und III ein (§ 1 Abs. 2). Die Kategorien sind kumulativ: § 1 Abs. 4 nennt die Stellen, für die Kategorie I gilt, § 1 Abs. 5 die Stellen, für die die Kategorien I und II gelten, und § 1 Abs. 6 die Stellen, für die alle drei gelten.

Die Legende ihrer Anlage 2 definiert zwei Abkürzungen: ITVS (informačná technológia verejnej správy, Informationstechnologie der öffentlichen Verwaltung) und ISVS (informačný systém verejnej správy, Informationssystem der öffentlichen Verwaltung). Ihr Bereich Identitäts- und Zugriffsmanagement umfasst die Punkte 99 bis 111 der Anlage 2. Die Punkte 99 bis 101 sind für alle drei Kategorien gekennzeichnet, die Punkte 102 bis 111 für die Kategorien II und III. Drei Punkte stechen hervor:

• Punkt 99 verlangt ein definiertes, umgesetztes und kontrolliertes System des Identitäts- und Zugriffsmanagements für alle ISVS und ITVS, einschließlich einer Liste der Systeme, der Arten von Identitäten, der technischen Konten und der Administratorinnen und Administratoren sowie der Authentifizierungsmethoden.
• Punkt 101 verlangt vom Verwalter, Mechanismen und Werkzeuge für das Identitäts- und Zugriffsmanagement für alle ISVS und ITVS festzulegen, umzusetzen und zu nutzen.
• Punkt 105 wiederholt den Inhalt von Punkt 80 der Verordnung 227/2025: die Überprüfung mindestens einmal jährlich, die Erkennung und Invalidierung ungenutzter Konten und die Aufzeichnung, die mindestens vom Ende des letzten Audits bis zum Ende des nächsten Audits oder der nächsten Selbstbewertung aufbewahrt wird. Die beiden Punkte unterscheiden sich nur in Formulierungsdetails.

§ 5 Abs. 1 gewährt eine Übergangsfrist bis zum 30. Juni 2027. Bis dahin gelten die Mindestmaßnahmen der Kategorie, die für die Stelle gilt, als ergriffen, wenn die Mindestmaßnahmen dieser Kategorie nach Anlage 2 der Verordnung 179/2020 in der bis zum 31. Dezember 2026 geltenden Fassung ergriffen wurden.

Für manche öffentlichen Stellen überschneiden sich die beiden Regime. Seit dem 30. April 2026 führt § 17 Abs. 1 Buchst. g) des Gesetzes 69/2018 ITVS-Verwalter, für die Maßnahmen der Kategorie II oder III gelten, unter den Personen auf, die als Betreiber wesentlicher Dienste registriert werden; die Fußnote zu dieser Bestimmung verweist derzeit auf die Kategorien nach § 3 Abs. 3 und 4 der Verordnung 179/2020. Eine solche Organisation kann beiden Verordnungen unterliegen. Keine der beiden Verordnungen sagt, wie eine Organisation, die beiden unterliegt, die zwei Maßnahmenkataloge in einer Dokumentation zusammenführen soll; klären Sie das Vorgehen deshalb mit dem NBÚ und dem MIRRI. Weil die jährliche Rezertifizierung in beiden denselben Inhalt hat, empfehlen wir, eine einzige Rezertifizierung zu gestalten, deren Umfang und Aufzeichnung beiden Texten genügen.

Wo IGA diese Maßnahmen unterstützt

Identity Governance and Administration (IGA) ist Software, die steuert, wer Zugriff auf welche Anwendungen hat, wer ihn genehmigt hat und ob er noch benötigt wird. Sie unterstützt die Punkte 78 und 80 am direktesten und trägt zu den Punkten 76, 81 und 82 bei. Die Verordnung nennt keine Produktkategorie; ein IGA-Werkzeug ist also ein Weg, diese Punkte zu erfüllen, und keine rechtliche Anforderung an sich.

easyIGA ist eine fachlich ausgerichtete IGA-Ebene auf Basis der Plattform midPoint. midPoint ist open source. Für die oben genannten Maßnahmen leistet easyIGA heute Folgendes:

• Anfragen und Genehmigungen: Mitarbeitende beantragen Zugriff unter dem fachlichen Namen des Zugriffs, und die verantwortliche Person genehmigt ihn mit den Ergebnissen der konfigurierten Richtlinien neben der Anfrage. easyIGA protokolliert die antragstellende Person und die erfassten Genehmigungsschritte; das liefert Ihnen den genehmigten Stand, mit dem Punkt 80 vergleicht.
• Lebenszyklus über midPoint: midPoint verbindet maßgebliche Identitätsdaten mit konfigurierten Richtlinien und Zielsystemen, sodass Eintritte, Wechsel und Austritte über konfigurierte Integrationen abgewickelt werden (Punkt 78). easyIGA ergänzt die verständlichen Anfragen, Entscheidungen und Rezertifizierungen.
• Rezertifizierungen: Die prüfende Person sieht die Person und den zu prüfenden Zugriff mit letzter Nutzung, „Gewährt von“ und „Genehmigt von“, soweit die angebundenen Systeme und die erfasste Genehmigungshistorie diese Angaben liefern. Behalten und Entziehen sind beide protokollierte Entscheidungen. Siehe Rezertifizierungen.
• Entzug bis zum Ergebnis nachverfolgt: easyIGA unterscheidet die Ergebnisse verifiziert, ausstehend, fehlgeschlagen und unbekannt, sodass ein in der Rezertifizierung beschlossener Entzug erst dann als erledigt gilt, wenn das Zielsystem ihn bestätigt.
• Fehlende Historie bleibt sichtbar: Eine direkte Vergabe ohne passende easyIGA-Anfrage wird als außerhalb von easyIGA vergeben markiert, mit dem von midPoint erfassten Erstellungskonto, Kanal und Zeitpunkt. Fehlende Genehmigungsschritte bleiben als fehlend markiert, statt rekonstruiert zu werden.
• Konten ohne verantwortliche Person: Der Abgleich der Konten in angebundenen Systemen mit den Identitätsdatensätzen zeigt Lücken in der Verantwortlichkeit, auch bei Servicekonten. Nach unserer Lesart unterstützt das die Rezertifizierung nach Punkt 80, in der ein Konto ohne verantwortliche Person eine zu klärende Feststellung ist. Welche Ansicht verfügbar ist, hängt vom Kontotyp, der angebundenen Quelle und dem unterstützten Workflow ab; das klärt unser Team mit Ihnen. Siehe verwaiste Konten und nicht-menschliche Identitäten.
• Konfliktbehafteter Zugriff: easyIGA zeigt das Ergebnis der in midPoint konfigurierten Ausschlussrichtlinien auf der Genehmigungskarte, sodass die genehmigende Person einen bekannten Konflikt vor der Entscheidung sieht. Das Erstellen und Simulieren dieser Regeln innerhalb von easyIGA ist geplant, derzeit nicht verfügbar. Siehe Funktionstrennung.
• Nachweise: Nachweisexporte der Rezertifizierung enthalten die verfügbare Anfrage- und Genehmigungshistorie. Mehr dazu unter Audit-Nachweisen.

Die Bereitstellung erfolgt standardmäßig selbst gehostet, auf Ihrer Infrastruktur und in Ihrem Rechtsraum; auf Anfrage ist eine in der EU gehostete Bereitstellung verfügbar, die unser Team betreibt (Bereitstellungsoptionen).

Was IGA für die Verordnung 227/2025 nicht leistet

Ein IGA-Werkzeug deckt einen Teil des Identitätsbereichs ab. Planen Sie den Rest ausdrücklich.

• Authentifizierung. Die Punkte 84 und 85 sowie die Multi-Faktor-Authentifizierung für den Fernzugriff nach Punkt 73 gehören zu Ihrem Identity Provider, Ihren Anwendungen und Ihren Benutzerregeln. Eine Genehmigung in easyIGA beweist nicht, dass Multi-Faktor-Authentifizierung verwendet wurde.
• Aufzeichnung jeder Nutzung einer Berechtigung. Punkt 76 verlangt Technologien, die die Nutzung von Zugriffsberechtigungen aufzeichnen, und Punkt 2 verlangt betriebliche Aufzeichnungen über jeden Zugriff. Das liefern Anwendungs-, Authentifizierungs- und Netzwerkprotokolle. easyIGA zeigt die letzte Nutzung nur an, wenn ein angebundenes System sie liefert, und ein Zugriffseintrag zeigt nicht jede Aktion, die innerhalb einer Anwendung ausgeführt wurde.
• OT-spezifische Kontrollen. Die Punkte 77, 86 und 87 brauchen OT-Zugriffstechnologie, Überwachung und Funkerkennung.
• Kontrolle privilegierter Sitzungen. Punkt 82 lässt sich auf der Ebene steuern, wer privilegierte Rollen erhält. Das Kontrollieren oder Aufzeichnen privilegierter Sitzungen braucht separate Werkzeuge.
• Ihre Schwellenwerte und Entscheidungen. Das Werkzeug wendet die Richtlinie an, die Sie definieren. Der Schwellenwert für ungenutzte Konten, der Umfang der Rezertifizierung und die Aufbewahrungsfrist sind Entscheidungen für Ihre Dokumentation.
• Compliance selbst. Ein Produkt stellt keine Compliance her. Ob die Maßnahmen wirksam sind, beurteilt eine zertifizierte Auditorin oder ein zertifizierter Auditor für Cybersicherheit oder, bei einer Selbstbewertung, Ihre Cybersicherheitsmanagerin oder Ihr Cybersicherheitsmanager. Die Qualität jeder Rezertifizierung hängt auch von den Quelldaten ab: Eine falsche Führungskraft oder ein fehlendes Enddatum in den Quelldatensätzen wird durch eine bessere Prüfansicht nicht behoben.

Checkliste vor dem nächsten Audit oder der nächsten Selbstbewertung

1. Bestätigen Sie Ihren Status im Register: PZS, PKZS oder zusätzlich ITVS-Verwalter nach der Verordnung 184/2026.
2. Halten Sie für jeden der Punkte 76 bis 87 fest, ob er gilt (IKT oder OT, PZS oder PKZS), ob er ergriffen ist, und die dokumentierte Begründung, wo er es nicht ist.
3. Benennen Sie die nach Punkt 2 für den Benutzerzugriff verantwortliche Person.
4. Listen Sie die Systeme im Umfang mit ihren verantwortlichen Personen aus dem Asset-Verzeichnis auf.
5. Beziehen Sie System- und Servicekonten ein, jedes mit benannter verantwortlicher Person und Zweck.
6. Definieren Sie den Schwellenwert für ungenutzte Konten je Kontotyp und den Ausnahmeprozess.
7. Machen Sie den genehmigten Stand nachvollziehbar: Anfragen, Genehmigungen und Rollendefinitionen, verknüpft mit den Berechtigungen.
8. Führen Sie die Rezertifizierung mindestens alle 12 Monate durch und verfolgen Sie jeden Entzug bis zu einem bestätigten Ergebnis im Zielsystem.
9. Erstellen Sie die Aufzeichnung mit den sieben oben genannten Elementen.
10. Legen Sie die Aufbewahrung so fest, dass jede Aufzeichnung mindestens bis zum Ende des nächsten Audits erhalten bleibt.
11. Prüfen Sie das Format der Aufzeichnung gegen das, was der Bericht über die Selbstbewertung als Nachweise auflisten muss.
12. Benennen Sie verantwortliche Personen für Authentifizierung, Protokollierung und OT-Kontrollen, die außerhalb von IGA liegen.

Häufige Fragen

Gilt Punkt 80 auch für Betreiber, die nicht kritisch sind?

Ja. Anlage 1 kennzeichnet Punkt 80 als anwendbar sowohl für den Betreiber eines wesentlichen Dienstes als auch für den Betreiber eines kritischen wesentlichen Dienstes, für IT ebenso wie für OT.

Reicht eine jährliche Rezertifizierung aus?

Die Verordnung legt ein Minimum von einmal jährlich fest. Ein häufigerer Zyklus für privilegierte oder risikoreiche Zugriffe ist eine Entscheidung Ihrer Risikoanalyse; die Verordnung schreibt ihn nicht vor.

Müssen Service- und Systemkonten überprüft werden?

Punkt 80 spricht von Zugriffskonten, ohne Typen aufzuzählen, während die Punkte 78 und 79 Systemkonten ausdrücklich in das Lebenszyklusmanagement und die eindeutige Identifizierung einbeziehen. Wir empfehlen, sie einzubeziehen, jedes mit einer verantwortlichen Person, die seinen Zweck bestätigen kann.

Was genau ist ein ungenutztes Konto?

Die Verordnung definiert es nicht. Legen Sie in Ihrer Zugriffsrichtlinie einen messbaren Schwellenwert fest, wenden Sie ihn einheitlich an und dokumentieren Sie Ausnahmen wie Notfallkonten.

Wie lange muss die Aufzeichnung über die Rezertifizierung aufbewahrt werden?

Mindestens vom Ende des letzten Audits bis zum Ende des nächsten Audits oder der nächsten Selbstbewertung. Nach der Verordnung 493/2022 in der Fassung der Verordnung 212/2026 muss das nächste Audit bis zum Ende des dritten Kalenderjahres nach dem Jahr, in dem das letzte Audit endete, abgeschlossen sein, bei einem nicht kritischen Betreiber, der sich alle zwei Jahre selbst bewertet, bis zum Ende des fünften Kalenderjahres, und nach einer wesentlichen Änderung innerhalb von sechs Monaten.

Verlangt die Verordnung ein IGA-Produkt?

Es wird kein Produkt genannt. Punkt 76 verlangt Technologien zur Verwaltung von Zugriffsberechtigungen, und Punkt 101 der Verordnung 184/2026 verlangt Mechanismen und Werkzeuge für das Identitäts- und Zugriffsmanagement. Ein IGA-Werkzeug ist ein Weg, sie bereitzustellen.

Wir sind eine öffentliche Stelle. Welche Verordnung gilt für uns?

Das hängt von Ihrer Registrierung und Kategorie ab. Die Verordnung 184/2026 regelt die Sicherheitsmaßnahmen für ITVS ab dem 1. Januar 2027, mit einer Übergangsfrist bis zum 30. Juni 2027. Sind Sie zusätzlich als Betreiber eines wesentlichen Dienstes registriert, gilt auch die Verordnung 227/2025. Klären Sie die Kombination mit dem NBÚ und dem MIRRI.

Für das Gesamtbild zu NIS2 lesen Sie Was NIS2 tatsächlich verlangt und was nicht und unseren Überblick zur Zugriffskontrolle nach NIS2. Zum Austrittsfall in Punkt 78 lesen Sie Zugriffe beim Austritt vollständig entziehen und nachweisen.

Quellen und Prüfvermerk

Alle Quellen wurden am 21. Oktober 2026 geprüft. Slov-Lex gibt an, dass sein HTML-Text informativ und die PDF-Fassung rechtlich verbindlich ist. Der Wortlaut der Punkte und die Spalten zur Anwendbarkeit in diesem Artikel wurden anhand der PDFs geprüft. Am 21. Oktober 2026 zeigte die Versionshistorie auf Slov-Lex keine Änderung der Verordnung 227/2025 und keine Fassung des Gesetzes 69/2018, die jünger ist als die seit dem 30. April 2026 geltende.

• Národný bezpečnostný úrad: Vyhláška č. 227/2025 Z. z. o bezpečnostných opatreniach, erlassen am 26. August 2025, veröffentlicht am 28. August 2025, in Kraft seit dem 1. September 2025. Amtliches PDF; PDF der Anlage 1. Verwendet: §§ 3, 4, 5, 6, 7, 8, 9, 10, 11; Anlage 1, Punkte 2, 6, 7, 9, 19, 28, 64, 73 und 76 bis 87; Anlage 3.
• Národná rada Slovenskej republiky: Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, konsolidierte Fassung, gültig seit dem 30. April 2026. Verwendet: §§ 2, 17, 18, 19, 20, 29, 32, 34b.
• Národná rada Slovenskej republiky: Zákon č. 366/2024 Z. z., veröffentlicht am 19. Dezember 2024, in Kraft seit dem 1. Januar 2025.
• Národná rada Slovenskej republiky: Zákon č. 67/2026 Z. z., veröffentlicht am 30. April 2026. Verwendet: Čl. III (Änderung von § 17 Abs. 1 Buchst. g) des Gesetzes 69/2018) und Čl. IV.
• Národný bezpečnostný úrad: Vyhláška č. 362/2018 Z. z., Fassung gültig seit dem 1. September 2023, aufgehoben am 1. September 2025. Verwendet: § 8 Abs. 4; Anlage 3.
• Národný bezpečnostný úrad: Vyhláška č. 493/2022 Z. z. o audite kybernetickej bezpečnosti, Fassung gültig seit dem 1. September 2026. Verwendet: § 2 Abs. 5 und 6, § 3a, Anlage 2 Teil B.
• Národný bezpečnostný úrad: Vyhláška č. 212/2026 Z. z., erlassen am 21. August 2026, veröffentlicht am 27. August 2026, in Kraft seit dem 1. September 2026. Verwendet: neuer § 2 Abs. 5 und 6, § 3a, Anlage 2 Teil B.
• Ministerstvo investícií, regionálneho rozvoja a informatizácie SR: Vyhláška č. 184/2026 Z. z., erlassen am 1. Juli 2026, veröffentlicht am 9. Juli 2026, in Kraft ab dem 1. Januar 2027. PDF der Anlage 2. Verwendet: §§ 1, 5, 6, 7; Anlage 2, Punkte 99 bis 111.