NIS2 Zugriffskontrolle und Asset-Management: Artikel 21(2)(i) erklärt
Die meisten NIS2-Audits scheitern nicht an der Verschlüsselung oder der Incident Response. Sie scheitern an einer Tabelle, die niemand aktuell gehalten hat.
Ein Auditor fragt nach Ihrem Asset-Inventar und erhält einen zwei Jahre alten Export. Er fragt, wer Administratorrechte auf der Firewall-Managementkonsole des Kunden hat, und bekommt drei Namen — aber der vierte, ein externer Mitarbeiter, der im März ausgeschieden ist, hat immer noch ein aktives Konto. Das ist ein Befund. Oft ist es der erste, und er färbt alles Weitere ein.
Artikel 21(2)(i) der NIS2 bündelt drei Maßnahmen, die die meisten Organisationen als getrennte Verwaltungsaufgaben behandeln: Sicherheit des Personals, Zugriffskontrollrichtlinien und Asset-Management. Auditoren behandeln sie als ein zusammenhängendes System. Wenn Sie Kunden bei NIS2 unterstützen, ist dies die Maßnahme, bei der zuerst Ihr eigenes Haus in Ordnung sein muss — denn als Managed Service Provider fallen Sie selbst in den Anwendungsbereich der Commission Implementing Regulation (EU) 2024/2690, die diese Pflichten in verbindliche, prüfbare Anforderungen übersetzt.
Artikel 21(2)(i) umfasst drei Maßnahmen, die Auditoren als eine Geschichte lesen
Der Richtlinientext ist kurz: Einrichtungen müssen über "Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen" verfügen. Diese Knappheit ist irreführend. Die Implementing Regulation und die ENISA Technical Implementation Guidance (v1.0, Juni 2025) entfalten sie zu einigen der detailliertesten Anforderungen des gesamten Rahmens.
Die Logik ist eine Kette. Sie klassifizieren Ihre Assets, damit Sie wissen, was zählt. Sie steuern den Zugriff auf diese Assets auf Basis dieser Klassifizierung. Sie verwalten die Personen, die diesen Zugriff besitzen, über ihren gesamten Lebenszyklus bei Ihnen. Brechen Sie ein Glied, verlieren die anderen beiden ihre Bedeutung — Least Privilege ist wertlos, wenn Sie die Systeme nie inventarisiert haben, und ein perfektes Inventar ist wertlos, wenn ein ehemaliger Mitarbeiter noch die Schlüssel hat.
Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
Artikel 21
10 Cybersicherheitsmaßnahmen
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien6Bewertung der Wirksamkeit von SicherheitsmaßnahmenVorfälle & Kontinuität
2Vorfallsbehandlung & Meldung3Geschäftskontinuität & NotfallwiederherstellungLieferkette & Systeme
4Sicherheit der Lieferkette5Sicherheit bei der Entwicklung von Netz- und InformationssystemenTechnische Kontrollen
8Kryptografie & Verschlüsselung10Multi-Faktor-Authentifizierung & sichere KommunikationPersonal & Ressourcen
7Cyber-Hygiene & Schulung9Personalsicherheit & Zugangskontrolle
Sie können den Zugriff auf Assets nicht steuern, die Sie nie inventarisiert haben
Asset-Management steht am Anfang, weil alles Weitere davon abhängt. CIR 2024/2690 verlangt keine "Liste von Servern." Es verlangt eine Asset-Management-Richtlinie mit mehreren konkreten Bestandteilen.
Sie benötigen ein Inventar der Netz- und Informationssysteme und ihrer unterstützenden Assets — Hardware, Software, Cloud-Mandanten und die darin enthaltenen Daten. Jedes Asset braucht einen Eigentümer und eine Klassifizierungsstufe. Sie brauchen Handhabungsregeln, die an diese Klassifizierung gekoppelt sind, sodass ein System mit Kunden-Anmeldedaten anders behandelt wird als eine Marketing-Website. Und Sie brauchen Richtlinien für Wechseldatenträger sowie für die sichere Rückgabe oder Entsorgung von Assets, wenn ein Gerät oder Vertrag endet.
Dieser letzte Punkt ist der, an dem MSPs auffliegen. Ein Laptop, der neu aufgesetzt und ohne dokumentierte Löschung an den nächsten Techniker weitergegeben wird, ist eine Lücke. Eine außer Betrieb genommene Kunden-Firewall, die ohne Widerruf der Zertifikate weiterverkauft wird, ist eine größere. Die Regulierung will einen Nachweis, dass Assets Ihre Kontrolle so sauber verlassen, wie sie hineingekommen sind.
Praktischer Ausgangspunkt: Wenn Ihr Inventar nicht mindestens monatlich automatisch erfasst und abgeglichen wird, gehen Sie davon aus, dass es bereits falsch ist. Manuelle Tabellen driften in dem Moment ab, in dem ein Techniker außerhalb des Prozesses eine VM hochfährt.
Zugriffskontrolle unter CIR 2024/2690 bedeutet Least Privilege — durchgesetzt und überprüft
Sobald Assets klassifiziert sind, entscheidet die Zugriffskontrolle, wer sie anfasst. Die Implementing Regulation verlangt eine dokumentierte Zugriffskontrollrichtlinie, die auf Least Privilege und Need-to-know beruht — Zugriff wird gewährt, weil eine Rolle ihn erfordert, nicht weil es bequem ist.
Konkret erwarten Auditoren eindeutige Kennungen für jeden Benutzer (keine gemeinsamen "Admin"-Konten), einen separaten und streng kontrollierten Prozess für privilegierte und administrative Konten sowie regelmäßige Zugriffsüberprüfungen, die tatsächlich zu Entzügen führen. Die Kopplung mit der Authentifizierung ist hier entscheidend: Starke Zugriffskontrolle setzt starke Identität voraus, weshalb phishing-resistente MFA kein optionales Extra ist, sondern der Mechanismus, der Least Privilege durchsetzbar macht. Siehe unsere Aufschlüsselung der NIS2-MFA-Anforderungen dazu, wie diese beiden Maßnahmen zusammenhängen.
Die Entscheidung, die ein Auditor wirklich prüft, ist leicht zu formulieren und schwer nachzuweisen: Können Sie für ein beliebiges Konto zeigen, warum es den Zugriff hat, den es hat, wer ihn genehmigt hat und wann er zuletzt überprüft wurde?
Gilt NIS2 für Ihre Organisation?
1Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja▼Nein▼2Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
✗NIS2 gilt nicht unmittelbar für Ihre Organisation.
Ja▼Nein▼✓NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
3Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja▼!NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
1Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja ↓Nein →2Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
Ja ↓Nein →3Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja ↓Nein →✗NIS2 gilt nicht unmittelbar für Ihre Organisation.
✓NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
!NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
GiltGilt möglicherweiseGilt nicht
Privilegierter Zugriff ist der Bereich, in dem sich die Prüfung konzentriert. Dauerhafte Administratorrechte, die niemand täglich nutzt, sind der häufigste Befund. Wenn ein Techniker zweimal im Monat Domänenadministrator benötigt, ist dauerhafter 24/7-Zugriff darauf ein Risiko, das Sie bewusst tragen. Just-in-Time-Erhöhung und Sitzungsprotokollierung machen daraus statt eines Befunds eine vertretbare Maßnahme.
Bei einem MSP kaskadiert ein einziges veraltetes Anmeldeinformation über jeden nachgelagerten Kunden
Deshalb ist den Regulierungsbehörden eine Maßnahme, die nach IT-Hygiene klingt, so wichtig. Fehler bei der Zugriffskontrolle bleiben nicht eingegrenzt.
Ein einziges überprivilegiertes, nicht überprüftes Konto innerhalb eines MSP ist nicht ein Risiko — es ist ein gemeinsames Risiko über jeden Kunden, den dieses Konto erreichen kann. Kompromittieren Sie es, und der Explosionsradius ist das gesamte Kundenportfolio. Genau das ist die Lieferketten-Sorge, um die herum Artikel 21(2)(d) aufgebaut ist, und deshalb löst eine Schwäche bei der Zugriffskontrolle bei einem Anbieter eine Prüfung weit über diesen Anbieter hinaus aus. Regulierungsbehörden können eskalieren: Ein Befund bei Ihrer Organisation wird zu einem Befund für jede wesentliche Einrichtung, die von Ihnen abhängt, und der Durchsetzungsdruck — einschließlich Bußgeldern und, für das Management, persönlicher Haftung — kaskadiert die Kette hinab.
NIS2-Sanktionseskalation — Jenseits der Geldbuße
!Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen▼Nicht-finanzielle Sanktionen1Anordnungen mit bindenden Fristen
2Verpflichtende Sicherheitsaudits auf eigene Kosten
3Öffentliche Bekanntmachung von Verstößen
4Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu▼Betriebliche und persönliche Konsequenzen1Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2Vorübergehendes Verbot von Leitungsfunktionen für Personen
3Öffentliche Benennung verantwortlicher natürlicher Personen
AuslöserNicht-finanziellBetrieblich / persönlich
Die unbequeme Implikation für MSPs: Die Compliance-Lage Ihrer Kunden ist nun teilweise eine Funktion Ihrer eigenen Zugriffshygiene. Ein Kunde kann alles richtig machen und dennoch eine Lücke von Ihrer Seite erben. Zunehmend ist genau das, was Lieferantenfragebögen abklopfen — siehe Lieferantenverträge und NIS2 dazu, wie dies in der Vertragssprache ankommt.
Sicherheit des Personals ist die Maßnahme, die niemand dokumentiert
Das dritte Standbein von 21(2)(i) ist das, das am häufigsten übersprungen wird, weil es teils bei HR statt bei IT liegt. NIS2 erwartet, dass Sicherheit Teil des Beschäftigungszyklus ist.
Das bedeutet: eine der Rolle angemessene Hintergrundüberprüfung, bevor Zugriff gewährt wird, im Vertrag festgehaltene Vertraulichkeits- und Sicherheitspflichten, Sicherheitsverantwortlichkeiten, die während der Beschäftigung verstanden werden, und — entscheidend — ein definierter Offboarding-Prozess, der Zugriff entzieht und Assets zurückholt am Tag, an dem jemand geht. Nicht die Woche danach. Am selben Tag.
Der Joiner-Mover-Leaver-Prozess ist der Punkt, an dem Asset-Management, Zugriffskontrolle und Personalsicherheit endlich als ein System zusammenkommen. Ein "Mover" — jemand, der intern die Rolle wechselt — ist der stille Fehlerfall: Er häuft den Zugriff der alten Rolle an, während er die neue erhält, und niemand entzieht die alten Rechte. Sechs Wechsel später haben Sie ein Konto mit Zugriff, den niemand erklären kann. Genau das ist das Konto, das ein Auditor finden wird.
Was ein Auditor Sie tatsächlich vorlegen lassen wird
Nachweise, keine Absichten. Für 21(2)(i) konkret: Halten Sie ein Asset-Inventar mit Eigentümern und Klassifizierung bereit, eine Zugriffskontrollrichtlinie, die Least Privilege ausdrücklich benennt, eine Liste privilegierter Konten mit Begründung und Datum der letzten Überprüfung, Aufzeichnungen einer durchgeführten Zugriffsüberprüfung mit Entzügen sowie dokumentierte Joiner-Mover-Leaver-Verfahren mit Nachweis, dass sie für aktuelle Abgänge befolgt wurden.
Wenn es Ihnen beim Zusammenstellen dieser Liste aus dem Gedächtnis unwohl wurde, ist dieses Unwohlsein die Gap-Analyse. Artikel 21(2)(i) ist eine von zehn Maßnahmen, und die Maßnahmen greifen ineinander — eine Schwäche hier untergräbt Ihre Incident Response, Ihre Lieferkettensicherung und Ihre Aussagen zur Geschäftskontinuität. Unser Schritt-für-Schritt-Leitfaden zur Gap-Analyse durchläuft die vollständige Reihe, und die zehn Maßnahmen erklärt zeigt, wie 21(2)(i) mit dem Rest zusammenhängt.
Zugriffskontrolle und Asset-Management sind unglamourös. Sie sind auch der Ort, an dem Readiness gewonnen oder verloren wird, denn es sind die Maßnahmen, die ein Auditor an einem Nachmittag verifizieren kann und die ein Angreifer in Minuten ausnutzt. Finden Sie Ihre veralteten Konten und Ihre fehlenden Assets, bevor es jemand anderes tut.
Nicht sicher, wo Ihre Lücken liegen? Machen Sie einen kostenlosen NIS2 Quick Scan, um in etwa zehn Minuten zu sehen, wie Ihre Zugriffskontrolle und Ihr Asset-Management im Vergleich zu Artikel 21 abschneiden.