Zum Inhalt springen
Demo buchen
NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 9 BSIG

Personalsicherheit, Zugriffskontrolle & Asset-Management

NIS2 fordert Personalsicherheit, Konzepte für die Zugriffskontrolle und ein Management der Werte (Assets). Es muss klar geregelt sein, wer worauf zugreifen darf, wie Berechtigungen vergeben und entzogen werden und welche Werte zu schützen sind.

NIS2§ 30 Abs. 2 Nr. 9 BSIGA.5.15A.5.18A.5.9

Warum diese Pflicht wichtig ist

Überprivilegierte und verwaiste Zugänge sind ein Hauptrisiko. Das Least-Privilege-Prinzip und ein gepflegtes Asset-Inventar begrenzen den Schaden bei Missbrauch und Kompromittierung.

So setzen Sie die Pflicht um

  1. 01Asset-Inventar mit Verantwortlichen erstellen und pflegen
  2. 02Zugriffsrechte nach Need-to-know und Least Privilege vergeben
  3. 03On- und Offboarding-Prozesse für Berechtigungen aufsetzen
  4. 04Berechtigungen regelmäßig überprüfen (Rezertifizierung)
  5. 05Personalsicherheit (Screening, Pflichten, Austritt) regeln
Diese Nachweise erwartet die Aufsicht
  • Asset-Inventar mit Klassifizierung und Owner
  • Berechtigungskonzept und Rezertifizierungsnachweise
  • Dokumentierte On-/Offboarding-Prozesse

Häufige Fehler

Verwaiste KontenZugänge ausgeschiedener Mitarbeiter bleiben aktiv.
Privilege CreepRechte sammeln sich über Rollenwechsel an und werden nie entzogen.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.5.15ZugangssteuerungA.5.18ZugangsrechteA.5.9Inventar der Informationen und anderer Werte

Häufig gestellte Fragen

Was bedeutet Least Privilege?
Jede Person erhält nur die minimal notwendigen Rechte für ihre Aufgabe, nicht mehr.
Wie oft muss ich Berechtigungen prüfen?
Regelmäßig, mindestens jährlich, für privilegierte Konten häufiger.
Muss ich alle Assets erfassen?
Zumindest die schützenswerten: Hardware, Software, Informationen und Dienste, jeweils mit Verantwortlichen.
In CompliantDesk

Zugriffskontrolle & Asset-Management mit CompliantDesk umsetzen

CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: Assets · Mitarbeiter (On-/Offboarding) · M365-Zugriffskontrolle. Starten Sie mit dem kostenlosen NIS2-Check.

NIS2-Check gratisDemo buchen

Verwandte NIS2-Pflichten

§ 30 Abs. 2 Nr. 10 BSIGMFA & gesicherte Kommunikation§ 30 Abs. 2 Nr. 7 BSIGCyberhygiene & Schulungen

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten