NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 10 BSIG

MFA & gesicherte Kommunikation

NIS2 nennt ausdrücklich Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation und Notfallkommunikation. MFA ist die wirksamste Einzelmaßnahme gegen Kontoübernahmen.

NIS2§ 30 Abs. 2 Nr. 10 BSIGA.8.5 A.5.14

Warum diese Pflicht wichtig ist

Gestohlene Zugangsdaten sind ein Hauptangriffsweg. MFA verhindert die meisten Kontoübernahmen und ist für Remote- und Cloud-Zugänge faktisch Pflicht.

So setzen Sie die Pflicht um

01MFA für alle externen, privilegierten und Cloud-Zugänge erzwingen
02Wo möglich phishing-resistente Verfahren (FIDO2/Passkeys) nutzen
03Gesicherte Kanäle für sensible Kommunikation bereitstellen
04Notfallkommunikation für den Krisenfall vorbereiten
05MFA-Abdeckung überwachen und Lücken schließen

Diese Nachweise erwartet die Aufsicht

MFA-Richtlinie und nachgewiesene MFA-Abdeckung
Konfiguration gesicherter Kommunikationskanäle
Notfallkommunikationsplan

Häufige Fehler

MFA nur teilweiseWichtige Zugänge, gerade Admin-Konten, bleiben ohne zweiten Faktor.

Schwache FaktorenSMS als alleiniger Faktor trotz bekannter Schwächen.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.8.5Sichere Authentisierung A.5.14Informationsübertragung

Häufig gestellte Fragen

Ist MFA unter NIS2 Pflicht?

MFA wird ausdrücklich als Maßnahme genannt und ist für kritische und externe Zugänge faktisch verpflichtend.

Welche MFA-Verfahren sind sicher?

Authenticator-Apps und vor allem phishing-resistente Verfahren wie FIDO2 oder Passkeys. SMS ist die schwächste Option.

Was bedeutet gesicherte Notfallkommunikation?

Vorbereitete, vom regulären Netz unabhängige Kommunikationswege, die auch bei einem IT-Ausfall funktionieren.

In CompliantDesk