NIS2-Artikel 21: EU-weite Checkliste für privilegierte Zugriffe

NIS2 macht privilegierte Zugriffe in der gesamten EU zu einer Frage der Unternehmenssteuerung. Organisationen, die als wesentliche oder wichtige Einrichtungen eingestuft sind, müssen kontrollieren, wer auf kritische Systeme zugreifen kann, wie sich diese Personen authentifizieren, was sie tun können, wie Anmeldeinformationen geschützt werden und welche Nachweise anschließend verfügbar sind. Diese Checkliste setzt die PAM-relevanten Teile von Artikel 21(2) in praktische Maßnahmen um, die Sicherheits-, IT-, Risiko- und Audit-Teams abschließen können, bevor im April 2027 die vollständige Durchsetzung und Verwaltungsbußgelder beginnen.

Für wen NIS2 in der EU gilt

NIS2 gilt für Organisationen, die nach dem EU-Rahmen und den jeweils anwendbaren nationalen Regelungen als wesentliche Einrichtungen oder wichtige Einrichtungen eingestuft sind. Der Anwendungsbereich ist deutlich weiter als der der ursprünglichen NIS-Richtlinie und erfasst viele mittelständische Organisationen, nicht nur Betreiber, die traditionell der kritischen Infrastruktur zugerechnet werden.

Die erweiterte Liste der Sektoren umfasst Organisationen in Bereichen wie:

• Fertigung — insbesondere wenn Produktion, industrielle Systeme oder Lieferketten von privilegiertem administrativem Zugriff abhängen
• IT-Dienstleistungen — einschließlich Teams und Anbietern, die Infrastruktur, Plattformen, Netzwerke oder Kundenumgebungen verwalten
• Gesundheitswesen — wenn privilegierte Konten auf klinische Systeme, vertrauliche Aufzeichnungen und verbundene Infrastruktur zugreifen können
• Finanzdienstleistungen — wenn Administratoren und Dienstkonten Systeme beeinflussen können, die regulierte Tätigkeiten unterstützen
• Öffentliche Verwaltung — wenn privilegierte Zugriffe Bürgerdienste, interne Systeme und Daten des öffentlichen Sektors erreichen

Die Einstufung als wesentliche oder wichtige Einrichtung ist für Aufsicht und Durchsetzung relevant, doch das operative PAM-Problem ist in beiden Kategorien ähnlich. Administratoren, Auftragnehmer, Support-Teams und Dienstkonten verfügen häufig über Zugriffe, mit denen sie Konfigurationen ändern, vertrauliche Daten lesen, Kontrollen deaktivieren oder Dienste unterbrechen können. NIS2 verlangt, dieses Risiko mit angemessenen technischen, operativen und organisatorischen Maßnahmen zu steuern.

Der genaue Anwendungsbereich und die Aufsichtsverfahren hängen von der Umsetzung in den einzelnen Mitgliedstaaten und von den Umständen der jeweiligen Organisation ab. Dieser Artikel bietet eine EU-weite Grundlage. Organisationen in Polen können zusätzlich den polnischen NIS2-PAM-Leitfaden für lokalen Kontext nutzen.

Für privilegierte Zugriffe relevante Kontrollen aus Artikel 21(2)

Artikel 21 geht über PAM hinaus. Er umfasst Maßnahmen zum Management von Cybersicherheitsrisiken in den Bereichen Richtlinien, Vorfallbehandlung, sichere Wartung, Authentifizierung, Kryptographie, Personal, Zugriff und Vermögenswerte. Die folgenden sieben Punkte bilden die kanonische Zuordnung der PAM-relevanten Anforderungen ab.

Artikel	Anforderung	Kanonische PAM-Zuordnung
Art. 21(2)(a)	Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme	Prüfpfad und Sitzungsaufzeichnung für alle privilegierten Zugriffe. Exportierbare Risikoberichte.
Art. 21(2)(b)	Behandlung von Sicherheitsvorfällen	Echtzeitwarnungen bei verdächtigen privilegierten Sitzungen. Vollständige Sitzungswiedergabe für Vorfalluntersuchungen.
Art. 21(2)(e)	Sicherheit bei Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Behandlung und Offenlegung von Schwachstellen	SBOM, SAST/SCA bei jeder Veröffentlichung, jährlicher Penetrationstest. Die Einhaltung des SLA für Sicherheitsupdates wird durch CI sichergestellt.
Art. 21(2)(g)	Multi-Faktor-Authentifizierung oder Lösungen für kontinuierliche Authentifizierung	TOTP, FIDO2/WebAuthn, SAML 2.0 SSO mit MFA-Durchsetzung auf Sitzungsebene.
Art. 21(2)(h)	Privileged Access Management — sichere Kommunikation, Notfallkommunikation	Just-in-Time-Bereitstellung von Anmeldeinformationen, zeitlich begrenzte Sitzungen, keine dauerhaften Rechte. Rollenbasierte Zugangskontrolle mit Prüfprotokoll.
Art. 21(2)(i)	Richtlinien und Verfahren für den Einsatz von Kryptographie und Verschlüsselung	AES-256-GCM im Ruhezustand, TLS 1.3 bei der Übertragung. Die Richtlinie zur Schlüsselrotation wird durchgesetzt. Keine Anmeldeinformationen im Klartext gespeichert.
Art. 21(2)(j)	Sicherheit in Personalangelegenheiten, Richtlinien zur Zugangskontrolle und Verwaltung von Vermögenswerten	RBAC mit Mandantentrennung. Automatisierter Austrittsprozess durch Widerruf von Sitzungsberechtigungen und Rotation von Anmeldeinformationen.

Diese Zuordnung zeigt, warum ein PAM-Programm nicht beim Hinzufügen von MFA zu Administrator-Anmeldungen enden kann. Authentifizierung ist nur eine Kontrolle. Ein wirksames Programm benötigt außerdem zeitlich begrenzte Autorisierung, die sichere Handhabung von Anmeldeinformationen, aufgezeichnete Aktivitäten, Daten für Vorfalluntersuchungen, die unverzügliche Entziehung von Zugriffsrechten und Nachweise dafür, dass die Kontrollen weiterhin funktionieren.

Sie zeigt auch, dass Werkzeuge nur ein Teil der Lösung sind. Artikel 21(2)(a) verbindet beispielsweise technische Aufzeichnungen mit Risikoanalyse und Sicherheitsrichtlinien. Artikel 21(2)(b) verlangt einen Prozess zur Vorfallbehandlung, der Warnungen und Daten aus der Sitzungswiedergabe nutzen kann. Artikel 21(2)(j) verbindet Zugangskontrollen mit Ereignissen im Personalbereich und der Verantwortung für Vermögenswerte. Eine Sitzungsaufzeichnung, die niemand prüft, oder ein Austrittsprozess, der keinen Widerruf auslöst, hinterlässt eine operative Lücke.

Zeitplan für die Durchsetzung

Verwenden Sie den auf der VaultPAM-Compliance-Seite veröffentlichten Zeitplan als gemeinsame Grundlage für Ihre Planung:

• Oktober 2024 — NIS2 in Kraft. Die Richtlinie ist keine künftige Anforderung mehr. Organisationen sollten bereits Anwendungsbereich, Verantwortliche, kritische Vermögenswerte und privilegierte Zugriffspfade identifizieren.
• Jetzt — Zeitfenster für Umsetzung und Nachweise. Priorisieren Sie risikoreiche Zugriffe, belegen Sie die Wirksamkeit der Kontrollen und wiederholen Sie den Prozess für die übrige Umgebung.
• April 2027 — vollständige Durchsetzung und Verwaltungsbußgelder. Bis dahin sollten die Kontrollen laufen und Nachweise zur Prüfung bereitstehen, statt erst nach einer Anfrage erstellt zu werden.

Betrachten Sie April 2027 nicht als Starttermin. Die Rotation von Anmeldeinformationen, die Neugestaltung von Zugriffsrechten, die Abdeckung durch Aufzeichnungen, Aufbewahrungsfristen und die Einbindung des Austrittsprozesses müssen getestet werden. Prüfnachweise sind außerdem aussagekräftiger, wenn sie einen konsistenten Betrieb über längere Zeit belegen.

Checkliste zur Umsetzung von NIS2 PAM

1. Jeden privilegierten Zugriffspfad inventarisieren

Beginnen Sie mit den Systemen, nicht mit Stellenbezeichnungen. Erfassen Sie Server, Datenbanken, Netzwerkgeräte, Cloud-Konsolen, administrative Anwendungen und andere kritische Vermögenswerte. Halten Sie für jedes Ziel fest:

• Wer es verwalten kann, einschließlich Beschäftigter, Auftragnehmer, Dritter und Dienstkonten
• Welches Protokoll oder welche Schnittstelle diese Personen verwenden
• Ob der Zugriff direkt oder vermittelt erfolgt
• Welche Anmeldeinformation verwendet wird und wer sie kennt
• Ob MFA, Genehmigungen, Protokollierung und Aufzeichnung gelten
• Wer für das Ziel verantwortlich ist und wer die Zugriffe darauf überprüft

Kennzeichnen Sie unbekannte Antworten als Lücken. Ein vollständiges Inventar ist die Grundlage für die Risikoanalyse nach Artikel 21(2)(a) und für die Verwaltung von Vermögenswerten und Zugriffen nach Artikel 21(2)(j).

2. MFA für privilegierte Sitzungen durchsetzen

Fordern Sie MFA an der Stelle, an der privilegierter Zugriff gewährt wird, nicht nur bei der Anmeldung an E-Mail, VPN oder Arbeitsplatz. Beziehen Sie sowohl den interaktiven Administratorzugriff als auch die Konsolen ein, über die Zugriff beantragt oder genehmigt wird. Beseitigen Sie Umgehungen, dokumentieren Sie Notfallzugriff und testen Sie Wiederherstellungsverfahren.

Die Nachweise sollten die Richtlinie, registrierte Benutzer, den Durchsetzungsstatus und beispielhafte Authentifizierungsereignisse zeigen. Überprüfen Sie Ausnahmen nach einem festgelegten Zeitplan; eine nicht dokumentierte Ausnahme wird zu einem dauerhaften Risiko.

3. Dauerhafte Rechte entfernen

Ersetzen Sie permanenten Administratorzugriff durch zeitlich begrenzten Just-in-Time-Zugriff. Definieren Sie, auf welche Ziele ein Benutzer zugreifen darf, zu welchem Zweck, für wie lange und ob eine Genehmigung erforderlich ist. Nach Ende des genehmigten Zeitfensters muss der Zugriff automatisch ablaufen.

Beginnen Sie mit Produktionssystemen und anderen Zielen mit hohem Schadenspotenzial. Beziehen Sie anschließend Zugriffe von Auftragnehmern und gemeinsam genutzte Betriebskonten ein. Das Zielbild ist einfach: Kein Benutzer behält privilegierten Zugriff allein deshalb, weil er ihn einmal benötigt hat.

4. Privilegierte Sitzungen aufzeichnen und überprüfen

Leiten Sie privilegierte Sitzungen über einen kontrollierten Zugriffspfad und zeichnen Sie die für Rechenschaftspflicht und Untersuchungen erforderlichen Aktivitäten auf. Erfassen Sie, wer sich verbunden hat, welches Ziel erreicht wurde, Beginn und Ende der Sitzung sowie den Sitzungsdatensatz oder das Aktivitätsprotokoll. Schützen Sie die Aufzeichnungen vor unbemerkter Veränderung und beschränken Sie den Zugriff darauf.

Testen Sie den Abruf vor einem Vorfall. Wählen Sie eine vergangene Sitzung nach Benutzer, Ziel und Datum aus; bestätigen Sie, dass das Team sie finden, wiedergeben oder prüfen und mit der zugehörigen Zugriffsentscheidung verknüpfen kann. Legen Sie fest, wer Warnungen und verdächtige Sitzungen überprüft, damit die Nachweise die Vorfallbehandlung nach Artikel 21(2)(b) unterstützen.

5. Privilegierte Anmeldeinformationen sichern und rotieren

Entfernen Sie privilegierte Anmeldeinformationen aus Tabellenkalkulationen, Kommunikationsverläufen, Supportanfragen, Automatisierungsprogrammen und individuellen Passwortspeichern. Bewahren Sie sie verschlüsselt auf, verhindern Sie ihre Einsicht durch Benutzer, wenn eine Sitzungsvermittlung möglich ist, und rotieren Sie sie gemäß Richtlinie. Rotieren Sie sie unverzüglich nach einem vermuteten Bekanntwerden, einer Notfallnutzung oder einem Austrittsereignis, bei dem eine Anmeldeinformation offengelegt worden sein könnte.

Nehmen Sie Dienstkonten und nichtmenschliche Identitäten in das Inventar auf. Weisen Sie einen Verantwortlichen zu, dokumentieren Sie den Einsatz jeder Anmeldeinformation und prüfen Sie, dass die Rotation keine abhängigen Systeme beeinträchtigt.

6. Beim Austritt Zugriffsrechte vollständig entziehen

Verknüpfen Sie HR- und Auftragnehmerereignisse im Lebenszyklus mit dem Entzug privilegierter Zugriffsrechte. Wenn eine Person das Unternehmen verlässt, ihre Rolle wechselt oder ein Projekt abschließt:

1. Widerrufen Sie ihre Berechtigung, neue privilegierte Sitzungen zu starten.
2. Beenden Sie aktive Sitzungen, wenn dies erforderlich ist.
3. Entfernen Sie ihre Richtlinien, Gruppenmitgliedschaften und Genehmigungen.
4. Rotieren Sie jede Anmeldeinformation, die sie gekannt oder verwendet haben könnte.
5. Dokumentieren Sie Zeitpunkt, handelnde Person, betroffene Ziele und Ergebnis.

Führen Sie einen beispielhaften Austrittstest von der Benachrichtigung bis zum verifizierten Widerruf durch. Dadurch wird Artikel 21(2)(j) von einer schriftlichen Vorgabe zu einer Kontrolle, die Sie nachweisen können.

7. Audit-Nachweise während des Betriebs der Kontrollen zusammenstellen

Benennen Sie für jede Kontrolle einen Verantwortlichen, definieren Sie die Häufigkeit der Überprüfung und bestimmen Sie die Nachweisquelle. Ein praktisches Nachweispaket sollte Folgendes enthalten:

• Inventar privilegierter Konten und Ziele
• MFA-Richtlinie, Registrierungsstatus und Authentifizierungsaufzeichnungen
• Zugriffsanträge, Genehmigungen, Zeitlimits und Aufzeichnungen über automatischen Ablauf
• Sitzungsprotokolle, Aufzeichnungen, Warnungen und Untersuchungsaufzeichnungen
• Richtlinie zur Speicherung und Rotation von Anmeldeinformationen mit Rotationsereignissen
• Zugriffsprüfungen und Abhilfemaßnahmen
• Aufzeichnungen zum Austrittsprozess, die Widerruf und Rotation von Anmeldeinformationen belegen
• Relevante Sicherheitsrichtlinien, Verantwortliche für Vermögenswerte, Aufbewahrungsregeln und Ausnahmegenehmigungen

Wählen Sie regelmäßig Stichproben aus und reproduzieren Sie sie, als hätte eine Aufsichtsbehörde oder ein Auditor sie angefordert. Dokumentieren Sie fehlende Daten, weisen Sie Abhilfemaßnahmen zu und testen Sie erneut. Das Ziel ist kein einmaliger Ordner mit Bildschirmaufnahmen, sondern eine wiederholbare Kette von Richtlinie über Kontrolle, Ereignis und Überprüfung bis zur Korrekturmaßnahme.

Eine praktische Definition von Bereitschaft

Eine Organisation ist wesentlich besser vorbereitet, wenn sie sechs Fragen beantworten kann, ohne informelle Unterlagen durchsuchen zu müssen:

1. Wer hat derzeit privilegierten Zugriff auf jedes kritische Ziel?
2. Ist jeder privilegierte Benutzer stark authentifiziert?
3. Besteht Zugriff nur für einen genehmigten Zweck und für eine begrenzte Zeit?
4. Kann die Organisation nachvollziehen, was in einer privilegierten Sitzung geschehen ist?
5. Sind Anmeldeinformationen verschlüsselt, kontrolliert und rotiert, ohne sie Benutzern offenzulegen?
6. Können Zugriffsrechte widerrufen und Nachweise zeitnah bereitgestellt werden, wenn eine Person das Unternehmen verlässt oder ein Vorfall eintritt?

Ist eine Antwort unklar, ist dies die nächste Umsetzungspriorität. Nutzen Sie die Zuordnung von VaultPAM zu NIS2-Artikel 21, um Kontrollen am kanonischen Unternehmensrahmen auszurichten, und konsultieren Sie die VaultPAM-FAQ für praktische Fragen zur Bereitstellung und zum Produkt.