NIS2 · Zugriffssteuerung

Zugriffskontrolle nach NIS2.
Vom Konzept zum Nachweis.

NIS2 ordnet die Zugriffskontrolle in ein umfassenderes Cybersicherheitsprogramm ein. Klären Sie, welche Pflichten gelten, benennen Sie die verantwortlichen Personen und weisen Sie nach, dass Zugriffsentscheidungen in der Praxis funktionieren.

Ausführlichen NIS2-Leitfaden lesen Nachweis-Workflow ansehen

Was die Richtlinie verlangt

Die Richtlinie (EU) 2022/2555 verlangt in Artikel 21 geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Artikel 21 Absatz 2 Buchstabe i umfasst die Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen. Artikel 21 Absatz 2 Buchstabe j betrifft die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Kommunikation und gegebenenfalls gesicherte Notfallkommunikation.

Diese Bestimmungen schreiben weder ein IGA-Produkt noch eine bestimmte Häufigkeit für Zugriffsüberprüfungen noch eine allgemeingültige Umsetzungsfrist für eine einzelne Organisation vor. Die detaillierten Pflichten ergeben sich aus dem nationalen Umsetzungsgesetz und gegebenenfalls geltenden sektorspezifischen Vorschriften. Artikel 20 weist den Leitungsorganen außerdem Aufgaben bei der Billigung, der Überwachung und den Schulungen zu.

Anwendungsbereich vor der Toolwahl prüfen

Beginnen Sie mit den Arten von Einrichtungen und Tätigkeiten in den Anhängen I und II sowie in Artikel 2. Die allgemeine Größenregel verweist auf die EU-Definition mittlerer Unternehmen oder größerer Einrichtungen. Die Zahl der Beschäftigten allein oder ein einfacher Test auf „10 Millionen € Umsatz“ reicht nicht aus. Finanzielle Kriterien sowie Partnerunternehmen oder verbundene Unternehmen können eine Rolle spielen. Einige Arten von Einrichtungen sowie national bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter die Richtlinie.

Vertragliche Sicherheitsanforderungen eines Kunden können sich auf einen Lieferanten auswirken, ohne dass dieser Lieferant selbst unmittelbar unter NIS2 fällt. Erfassen Sie den direkten rechtlichen Anwendungsbereich und vertragliche Pflichten getrennt. Die Frist für die Umsetzung in nationales Recht endete am 17. Oktober 2024; prüfen Sie das Gesetz und die zuständige Behörde in jedem relevanten Mitgliedstaat.

Vor Ihrer ersten Überprüfung

Juristische Person, Sektor und Rechtsraum bestimmen.
Systeme, verantwortliche Personen und privilegierte Zugriffe auflisten.
Zuständigkeiten für Genehmigung und Entzug vereinbaren.
Ausnahmen und die für die Behebung verantwortlichen Personen erfassen.
Das tatsächliche Ergebnis im Zielsystem testen.

Für den nationalen Anwendungsbereich ziehen Sie das geltende Recht und die zuständige Behörde heran. In Deutschland gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz (BSIG), eingeführt durch das Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, oft NIS2UmsuCG genannt). Nach § 30 Abs. 1 BSIG müssen besonders wichtige Einrichtungen und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren. Zu diesen Maßnahmen zählt nach § 30 Abs. 2 Nr. 9 BSIG die „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“; Nr. 10 betrifft Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung. Für Finanzunternehmen nach Artikel 2 Absatz 2 DORA gilt § 30 BSIG nach § 28 Abs. 6 Nr. 1 BSIG nicht. In Österreich ist am 1. Oktober 2026 das NISG 2026 (BGBl. I Nr. 94/2025) in Kraft getreten. Nach § 32 Abs. 4 lit. i NISG 2026 umfassen die Risikomanagementmaßnahmen wesentlicher und wichtiger Einrichtungen die „Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen“. Registrieren müssen sich diese Einrichtungen bei der Cybersicherheitsbehörde nach § 29 Abs. 3 NISG 2026 innerhalb von drei Monaten ab Inkrafttreten. Diese Seite erläutert vor allem den EU-Rahmen und einen praxisnahen Ansatz zur Steuerung von Zugriffsrechten.

Kontrollübersicht für die Praxis

Zu jeder Entscheidung ein Nachweis

Beispiele zur Steuerung von Zugriffsrechten; es handelt sich um Umsetzungsvorschläge, nicht um wörtliche gesetzliche Anforderungen.
Kontrollziel	Vorgehen	Aufzubewahrende Nachweise
Zugriff nach Bedarf	Beantragbare Zugriffsrechte, verantwortliche Personen, Genehmigungsregeln und Ablaufdaten festlegen.	Genehmigte Richtlinie, Anfrage, Entscheidung und Ergebnis im Zielsystem.
Zugriffsrechte bleiben angemessen	Einen risikobasierten Umfang überprüfen und Entscheidungen zum Entzug konsequent umsetzen.	Überprüfter Personenkreis, prüfende Person, Begründung, Ausnahmen und bestätigte Ergebnisse.
Beim Austritt endet der Zugriff	Maßgebliche Austrittsereignisse mit Entzug und Verifizierung verknüpfen.	Zeitpunkt des Ereignisses, Ausführungsergebnis, noch offene Systeme und verantwortliche Person.
Schutz der Authentifizierung	Geeignete Authentifizierungskontrollen im IdP und in den Anwendungen konfigurieren.	Konfiguration, Abdeckung, Ausnahmen und Testergebnisse; eine IGA-Genehmigung ist kein MFA-Nachweis.
Maßnahmen sind wirksam	Stichproben testen und fehlende oder veraltete Daten untersuchen.	Testmethode, Fehler, Korrekturmaßnahmen und Überwachung durch die Leitung.

Wo easyIGA helfen kann

easyIGA ist die Ebene über midPoint, mit der die Fachbereiche arbeiten. Der Produktumfang umfasst Anfragen, Genehmigungen, Zugriffsüberprüfungen und die damit verknüpften Nachweise. Bewerten Sie diese Workflows anhand Ihrer eigenen Systeme und Daten. Eine erfolgreiche Genehmigung ist kein Beweis für eine erfolgreiche Provisionierung, und fehlt ein Signal zur letzten Nutzung, muss dieser Wert als unbekannt gelten.

Wählen Sie im Pilotprojekt eine Anwendung und einen definierten Personenkreis. Führen Sie eine genehmigte Anfrage, eine abgelehnte Anfrage, einen Austritt, eine fehlgeschlagene Konnektor-Operation und eine Überprüfungsentscheidung vor, die das Zielsystem erreicht. Gleichen Sie den Export mit dem Eintrag im Zielsystem ab. Vereinbaren Sie Konnektor-Abdeckung und Abnahmekriterien, bevor Sie den Umfang erweitern.

IGA unterstützt einen Teil des Programms, ersetzt aber nicht die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, das Risikomanagement in der Lieferkette, Schulungen der Mitarbeitenden oder die Überwachung durch die Leitung. Keine Ansicht und kein Export in easyIGA weist für sich allein die Einhaltung von NIS2 nach.

Weiter mit dem passenden Detailgrad

Der vollständige NIS2-Leitfaden erläutert Anwendungsbereich, Meldepflichten und die Grenzen von Produktaussagen. Zu den Anforderungen im Finanzsektor lesen Sie die Seite Zugriffsverwaltung nach DORA. Zur praktischen Umsetzung finden Sie Seiten zu Rezertifizierungen, Audit-Nachweisen und Bereitstellungsoptionen.

Primärquellen

Quellenprüfung: 12. September 2026; Angaben zu BSIG und NISG 2026 geprüft am 21. Oktober 2026. Bewerten Sie Ihre Organisation nach dem geltenden nationalen Recht.

Zugriffskontrolle nach NIS2. Vom Konzept zum Nachweis.