MFA und Zugriffskontrolle unter NIS2
§ 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte für Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Nr. 10 nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung sowie gesicherte Kommunikation. Für Management zählt deshalb nicht, ob irgendwo MFA aktiviert ist, sondern ob kritische Zugriffswege angemessen und nachweisbar geschützt sind.
Priorität nach Risiko
Besondere Aufmerksamkeit verdienen privilegierte Konten, Remote Access, Cloud-Administration, Identitätsplattformen, Backup-Administration, externe Dienstleisterzugänge und Zugriffe auf kritische Anwendungen. Die Priorisierung sollte sich aus Exposition, Berechtigung und möglicher Geschäftsfolge ergeben.
MFA ersetzt kein Identity & Access Management
Wirksame Zugriffskontrolle umfasst Joiner-Mover-Leaver-Prozesse, Rollen und Berechtigungen, privilegierte Zugriffe, Rezertifizierung, Service Accounts, technische Konten, Drittparteizugänge und nachvollziehbare Ausnahmen. MFA ist eine wichtige Kontrolle innerhalb dieses Systems.
Privileged Access
Administrative Identitäten sollten besonders geschützt, möglichst getrennt von Alltagskonten genutzt und in ihrer Verwendung nachvollziehbar sein. Dauerhafte Hochprivilegien, geteilte Konten und unkontrollierte Notfallkonten erhöhen das Risiko erheblich.
Was tun, wenn MFA technisch nicht möglich ist?
Legacy-Systeme oder Produktionsumgebungen können Einschränkungen besitzen. Dann braucht es eine dokumentierte Risikoentscheidung, kompensierende Kontrollen, einen Owner, eine Frist und einen Zielzustand. „Technisch nicht möglich“ sollte keine unbegrenzte Ausnahme sein.
Wie MFA-Abdeckung nachgewiesen wird
Managementfähig sind Scope und Sollvorgabe, Abdeckungsquote kritischer Zugänge, dokumentierte Ausnahmen, Rezertifizierungen, technische Konfigurationen und regelmäßige Wirksamkeitsprüfung. Ein einzelner Screenshot aus einem Identity-System reicht für die Gesamtsteuerung nicht.
Typische Fehler
- MFA wird nur für VPN eingeführt.
- Administratoren besitzen MFA, Service- und Drittparteikonten bleiben unkontrolliert.
- Ausnahmen haben kein Ablaufdatum.
- IAM-Lifecycle und Rezertifizierung fehlen.
- MFA-Abdeckung wird nicht gegen kritische Zugriffswege gemessen.
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für die strukturierte Standortbestimmung und die organisatorische Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.