Personalsicherheit und IKT-Verwaltung gehören zusammen
§ 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Damit müssen Personen, Berechtigungen und die von ihnen genutzten bzw. administrierten IKT-Ressourcen über ihren Lebenszyklus kontrolliert werden.
Personalsicherheit risikobasiert gestalten
Relevante Elemente können Rollenanforderungen, Vertraulichkeits- und Sicherheitspflichten, Onboarding, rollenbezogene Schulung, Umgang mit besonders vertrauenswürdigen Funktionen sowie geregeltes Offboarding umfassen. Maßnahmen müssen rechtlich zulässig und zur Rolle verhältnismäßig sein.
Der Personalwechsel ist ein Security-Prozess
Neue Mitarbeitende benötigen nur erforderliche Zugänge. Rollenwechsel müssen Berechtigungen verändern statt nur ergänzen. Beim Austritt sind Zugänge, Geräte, Tokens, Schlüssel und externe Berechtigungen rechtzeitig zu entziehen oder zurückzugeben.
IKT-Systeme, Produkte und Prozesse steuerbar halten
Ein belastbarer Bestand verbindet technische Identität, Owner, Kritikalität, Standort bzw. Betriebsmodell, Lifecycle-/Supportstatus und relevante Abhängigkeiten. Das schafft die Grundlage für Schwachstellenmanagement, Zugriffskontrolle, Recovery und sichere Außerbetriebnahme.
Privilegierte Rollen brauchen zusätzliche Kontrollen
Hohe Berechtigungen erhöhen die mögliche Schadenswirkung. Trennung administrativer Identitäten, nachvollziehbare Vergabe, Rezertifizierung und geregelte Notfallzugänge sind deshalb zentrale Steuerungspunkte. Vertiefung: NIS2 MFA & Zugriffskontrolle.
Offboarding vollständig denken
Offboarding endet nicht mit dem AD-Konto. Cloud-Konten, lokale Konten, API-Zugänge, physische Tokens, Mobilgeräte, Zertifikate, geteilte Secrets, Lieferantenportale und Dokumentationsrechte können weiterbestehen. Ein definierter Abschlussnachweis reduziert diese Lücke.
Welche Kennzahlen helfen?
- überfällige Joiner-/Mover-/Leaver-Aktionen
- nicht zugeordnete oder verwaiste Accounts
- Rezertifizierungsquote privilegierter Berechtigungen
- kritische Assets ohne Owner oder Lifecycle-Status
- EOL-/Unsupported-Bestand
- offene Rückgaben oder deaktivierungsrelevante Ausnahmen
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für Standortbestimmung und Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.