ISO 27001:2022 · A.5.15 · A.5 Organisatorische Maßnahmen

Zugangssteuerung

Regeln zur Steuerung des physischen und logischen Zugangs zu Informationen und anderen Werten müssen auf Basis der Geschäfts- und Informationssicherheitsanforderungen festgelegt und umgesetzt werden.

ISO 27001NIS2TISAXBSI

Was fordert dieses Control?

Regeln zur Steuerung des physischen und logischen Zugangs zu Informationen und anderen Werten müssen auf Basis der Geschäfts- und Informationssicherheitsanforderungen festgelegt und umgesetzt werden.

Warum ist das wichtig?

Zugriffskontrolle ist das Herzstück der Informationssicherheit. Das Need-to-know- und Least-Privilege-Prinzip begrenzt Schäden bei Missbrauch und Kompromittierung.

Bezug zu anderen Normen

Norm	Stelle	Thema	Bezug
NIS2	§ 30 Abs. 2 BSIG	Zugriffskontrolle	Direkt
TISAX	4.1.1	Zugriffsmanagement	Direkt
BSI	ORP.4	Berechtigungsmanagement	Direkt

Was der Auditor erwartet

Zugriffskontrollrichtlinie nach Least Privilege
Rollenbasiertes Berechtigungskonzept
Regelmäßige Überprüfung von Zugriffsrechten

Audit-Checkliste

Dokumente

ZugriffskontrollrichtliniePrinzipien Need-to-know und Least Privilege

Nachweise

BerechtigungsreviewsRegelmäßige Rezertifizierung der Rechte

Freigabe-WorkflowsAntrag mit Owner-Freigabe für Zugriffe über den Standard hinaus

Rollen-/BerechtigungskonzeptAngewandtes RBAC-Modell mit Standardzugriff je Abteilung

Interviews

Admins / OwnerVergabe- und Entzugsprozess von Rechten

Technisch

Rechtevergabe in SystemenRollenbasierte, minimal nötige Berechtigungen

Praxis-Tipps zur Umsetzung

Least PrivilegeNur so viele Rechte wie nötig, im Zweifel weniger.

Rollen statt EinzelrechteRechte über Rollen bündeln, das vereinfacht Vergabe und Review.

Regelmäßig rezertifizierenBerechtigungen periodisch durch Owner bestätigen lassen.

Häufige Fehler

Privilege CreepRechte sammeln sich über Rollenwechsel an und werden nie entzogen.

Keine ReviewsBerechtigungen werden nie überprüft.

Häufig gestellte Fragen

Was bedeutet Least Privilege?

Jeder erhält nur die minimal notwendigen Rechte für seine Aufgabe, nicht mehr.

Wie oft Rechte überprüfen?

Mindestens jährlich, für privilegierte Konten häufiger.

Was ist der Unterschied zu A.8.3?

A.5.15 setzt die übergreifenden Regeln, A.8.3 betrifft die konkrete technische Zugriffsbeschränkung.

So hilft CompliantDesk bei A.5.15

Dokumentieren Sie das Zugriffskontrollkonzept als Kontrolle und planen Sie wiederkehrende Berechtigungsreviews über das Kalender-Modul.

Demo buchen Kostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten