§ 30 Abs. 2 Nr. 9 und 10 BSIGZugangsmanagement & Authentifizierung
Ist Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Konten und Remote-Zugänge aktiviert?
Worum geht es bei dieser Anforderung?
§ 30 Abs. 2 Nr. 10 BSIG nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung. Für privilegierte und externe Zugänge ist MFA regelmäßig die naheliegende Schutzmaßnahme.
Was Sie konkret prüfen sollten
- 1Ist MFA für alle Admin-Accounts aktiv?
- 2Für alle VPN/Remote-Zugänge?
- 3Für alle Cloud-Dienste?
- 4Auch für lokale Systeme ohne SSO-Anbindung?
- 5Sind Break-Glass-Notfallkonten gesondert abgesichert und überwacht?
- 6Sind Service-Accounts erfasst und MFA-Ausnahmen dokumentiert?
- 7Authenticator App empfohlen, SMS ist unsicher.
Wo der Nachweis liegt
Typische Fundstelle für den Nachweis:
Active Directory / Entra ID → MFA-Konfiguration
Weiterführende QuelleAlle NIS2-Anforderungen auf einen Blick prüfen
Der kostenlose NIS2-Check führt Sie durch den kompletten Katalog und zeigt Reifegrad, Lücken und konkrete Maßnahmen - ohne Anmeldung.
Weitere Fragen aus Zugangsmanagement & Authentifizierung
Gibt es ein dokumentiertes Berechtigungskonzept nach Least-Privilege?Werden Benutzerkonten bei Austritt von Mitarbeitern am selben Tag deaktiviert?Gibt es eine Passwort-Richtlinie mit Mindestanforderungen?Werden privilegierte Administratorzugänge separat von normalen Benutzerkonten geführt?Ist der physische Zugang zu Serverräumen und IT-Infrastruktur gesichert und protokolliert?Werden regelmäßige Zugriffsprüfungen (Access Reviews) durchgeführt?