NIS2 artikel 21: de EU-brede checklist voor bevoorrechte toegang

NIS2 maakt bevoorrechte toegang in de hele EU tot een governancevraagstuk. Organisaties die als essentiële of belangrijke entiteiten zijn geclassificeerd, moeten bepalen wie toegang tot kritieke systemen kan krijgen, hoe die personen zich authenticeren, wat zij kunnen doen, hoe aanmeldgegevens worden beschermd en welk bewijsmateriaal daarna beschikbaar blijft. Deze checklist zet de voor PAM relevante onderdelen van artikel 21(2) om in concrete werkzaamheden die teams voor beveiliging, IT, risico en audit kunnen uitvoeren voordat de volledige handhaving en administratieve boetes in april 2027 beginnen.

Voor wie NIS2 in de EU geldt

NIS2 heeft betrekking op organisaties die volgens het EU-kader en de toepasselijke nationale kaders als essentiële entiteiten of belangrijke entiteiten zijn geclassificeerd. Het toepassingsgebied is veel breder dan dat van de oorspronkelijke NIS-richtlijn en omvat veel middelgrote organisaties, niet alleen exploitanten die van oudsher als kritieke infrastructuur worden aangemerkt.

De uitgebreide sectorlijst omvat organisaties in onder meer de volgende gebieden:

• Productie — vooral wanneer productie, industriële systemen of toeleveringsketens afhankelijk zijn van bevoorrechte administratieve toegang
• IT-diensten — waaronder teams en leveranciers die infrastructuur, platforms, netwerken of klantomgevingen beheren
• Gezondheidszorg — wanneer bevoorrechte accounts toegang kunnen krijgen tot klinische systemen, gevoelige dossiers en verbonden infrastructuur
• Financiële diensten — wanneer beheerders en serviceaccounts systemen kunnen beïnvloeden die gereguleerde activiteiten ondersteunen
• Openbaar bestuur — wanneer bevoorrechte toegang reikt tot diensten voor burgers, interne systemen en gegevens van de publieke sector

De classificatie als essentiële of belangrijke entiteit is van belang voor toezicht en handhaving, maar het operationele PAM-probleem is in beide categorieën vergelijkbaar. Beheerders, opdrachtnemers, supportteams en serviceaccounts beschikken vaak over toegang waarmee zij configuraties kunnen wijzigen, gevoelige gegevens kunnen lezen, controles kunnen uitschakelen of diensten kunnen onderbreken. NIS2 verlangt dat dit risico wordt beheerst met passende technische, operationele en organisatorische maatregelen.

De exacte reikwijdte en toezichtprocedures hangen af van de implementatie in elke lidstaat en van de omstandigheden van de organisatie. Dit artikel biedt een gemeenschappelijke EU-brede basis. Organisaties die in Polen actief zijn, kunnen voor lokale context ook de specifieke Poolse gids voor NIS2 en PAM gebruiken.

Voor bevoorrechte toegang relevante controles uit artikel 21(2)

Artikel 21 is breder dan PAM. Het omvat maatregelen voor het beheer van cyberbeveiligingsrisico's op het gebied van beleid, incidentafhandeling, veilig onderhoud, authenticatie, cryptografie, mensen, toegang en bedrijfsmiddelen. De volgende zeven punten vormen de standaardtoewijzing van het PAM-relevante toepassingsgebied.

Artikel	Vereiste	Standaardtoewijzing aan PAM
Art. 21(2)(a)	Risicoanalyse en beveiligingsbeleid voor informatiesystemen	Audittrail en sessieopname voor alle bevoorrechte toegang. Exporteerbare risicorapporten.
Art. 21(2)(b)	Incidentafhandeling	Realtime waarschuwingen voor verdachte bevoorrechte sessies. Volledige sessieweergave voor incidentonderzoek.
Art. 21(2)(e)	Beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen, met inbegrip van het beheer en de melding van kwetsbaarheden	SBOM, SAST/SCA bij elke release en jaarlijks een penetratietest. Patch-SLA wordt afgedwongen in de CI-pijplijn.
Art. 21(2)(g)	Multifactorauthenticatie of oplossingen voor continue authenticatie	TOTP, FIDO2/WebAuthn en SAML 2.0 SSO met MFA-afdwinging op sessieniveau.
Art. 21(2)(h)	Beheer van bevoorrechte toegang — veilige communicatie, noodcommunicatie	Just-in-time uitgifte van aanmeldgegevens, tijdgebonden sessies en geen permanente rechten. Rolgebaseerde toegangscontrole met auditlog.
Art. 21(2)(i)	Beleid en procedures voor het gebruik van cryptografie en versleuteling	AES-256-GCM in rust en TLS 1.3 tijdens transport. Het beleid voor sleutelrotatie wordt afgedwongen. Geen aanmeldgegevens opgeslagen in platte tekst.
Art. 21(2)(j)	Beveiliging van personele middelen, beleid voor toegangscontrole en beheer van bedrijfsmiddelen	RBAC met tenantisolatie. Geautomatiseerde intrekking van sessierechten en rotatie van aanmeldgegevens bij uitdiensttreding.

Deze toewijzing laat zien waarom een PAM-programma niet kan ophouden bij het toevoegen van MFA aan aanmeldingen van beheerders. Authenticatie is slechts één controle. Een effectief programma vereist ook tijdgebonden autorisatie, veilige omgang met aanmeldgegevens, geregistreerde activiteiten, gegevens voor incidentonderzoek, snelle intrekking van rechten en bewijs dat de controles blijven werken.

Het laat ook zien dat tooling slechts een deel van het antwoord is. Artikel 21(2)(a) koppelt bijvoorbeeld technische registraties aan risicoanalyse en beveiligingsbeleid. Artikel 21(2)(b) vereist een incidentproces dat waarschuwingen en gegevens voor sessieweergave kan gebruiken. Artikel 21(2)(j) koppelt toegangscontroles aan HR-gebeurtenissen en eigenaarschap van bedrijfsmiddelen. Een sessieopname die niemand beoordeelt, of een procedure bij uitdiensttreding die geen intrekking activeert, laat een operationeel gat achter.

Tijdlijn voor de handhaving

Gebruik de tijdlijn op de compliancepagina van VaultPAM als gemeenschappelijke basis voor de planning:

• Oktober 2024 — NIS2 is van kracht. De richtlijn is niet langer een toekomstige vereiste. Organisaties zouden al de reikwijdte, verantwoordelijken, kritieke bedrijfsmiddelen en paden voor bevoorrechte toegang moeten identificeren.
• Nu — venster voor implementatie en bewijsmateriaal. Geef prioriteit aan toegang met een hoog risico, toon aan dat controles werken en herhaal het proces in de rest van de omgeving.
• April 2027 — volledige handhaving en administratieve boetes. Tegen die tijd moeten de controles operationeel zijn en moet bewijsmateriaal beschikbaar zijn voor beoordeling, in plaats van pas na een verzoek te worden gemaakt.

Beschouw april 2027 niet als startdatum. De rotatie van aanmeldgegevens, het herontwerp van toegang, de dekking van sessieopnames, retentie en de integratie van procedures bij uitdiensttreding vereisen allemaal tests. Auditbewijsmateriaal is bovendien sterker wanneer het een consistente werking in de tijd aantoont.

Checklist voor de implementatie van NIS2 PAM

1. Inventariseer elk pad voor bevoorrechte toegang

Begin met systemen, niet met functietitels. Maak een lijst van servers, databases, netwerkapparaten, cloudconsoles, administratieve toepassingen en andere kritieke bedrijfsmiddelen. Leg voor elk doel vast:

• Wie het kan beheren, waaronder medewerkers, opdrachtnemers, derden en serviceaccounts
• Welk protocol of welke interface zij gebruiken
• Of de toegang direct of via een tussenpartij verloopt
• Welke aanmeldgegevens worden gebruikt en wie deze kent
• Of MFA, goedkeuring, logregistratie en sessieopname van toepassing zijn
• Wie verantwoordelijk is voor het doel en wie de toegang ertoe beoordeelt

Markeer onbekende antwoorden als lacunes. Een volledige inventaris is de basis voor risicoanalyse volgens artikel 21(2)(a) en voor het beheer van toegang en bedrijfsmiddelen volgens artikel 21(2)(j).

2. Dwing MFA af voor bevoorrechte sessies

Vereis MFA op het punt waarop bevoorrechte toegang wordt verleend, niet alleen bij de aanmelding bij e-mail, VPN of een werkstation. Betrek zowel interactieve beheerderstoegang als de consoles waarmee toegang wordt aangevraagd of goedgekeurd. Verwijder omwegen, documenteer noodtoegang en test herstelprocedures.

Het bewijsmateriaal moet het beleid, geregistreerde gebruikers, de handhavingsstatus en voorbeeldgebeurtenissen voor authenticatie tonen. Beoordeel uitzonderingen volgens een vastgesteld schema; een niet-gedocumenteerde uitzondering wordt een permanent risico.

3. Verwijder permanente rechten

Vervang permanente beheerderstoegang door tijdgebonden just-in-time toekenningen. Definieer tot welke doelen een gebruiker toegang mag krijgen, met welk doel, voor hoe lang en of goedkeuring is vereist. De toegang moet automatisch verlopen wanneer het goedgekeurde tijdvenster eindigt.

Begin met productie en andere doelen met een grote impact. Neem vervolgens toegang van opdrachtnemers en gedeelde operationele accounts op. De gewenste situatie is eenvoudig: geen gebruiker behoudt bevoorrechte toegang alleen omdat die ooit nodig was.

4. Neem bevoorrechte sessies op en beoordeel ze

Leid bevoorrechte sessies via een gecontroleerd toegangspad en neem de activiteit op die nodig is voor verantwoording en onderzoek. Leg vast wie verbinding maakte, welk doel werd bereikt, wanneer de sessie begon en eindigde, en de sessieopname of het activiteitenlogboek. Bescherm registraties tegen onopgemerkte wijzigingen en beperk de toegang ertoe.

Test het terugvinden vóór een incident. Kies een eerdere sessie op gebruiker, doel en datum; bevestig dat het team die kan vinden, afspelen of inspecteren en kan koppelen aan de bijbehorende toegangsbeslissing. Leg vast wie waarschuwingen en verdachte sessies beoordeelt, zodat het bewijsmateriaal de incidentafhandeling volgens artikel 21(2)(b) ondersteunt.

5. Beveilig en roteer bevoorrechte aanmeldgegevens

Verplaats bevoorrechte aanmeldgegevens uit spreadsheets, chats, tickets, scripts en individuele wachtwoordopslagplaatsen. Bewaar ze versleuteld, voorkom dat gebruikers ze kunnen zien waar sessiebemiddeling mogelijk is, en roteer ze volgens het beleid. Roteer aanmeldgegevens onmiddellijk na een vermoedelijke blootstelling, noodgebruik of een gebeurtenis bij uitdiensttreding waardoor een aanmeldgegeven mogelijk bekend is geworden.

Neem serviceaccounts en niet-menselijke identiteiten op in de inventaris. Wijs een verantwoordelijke toe, leg vast waar elk aanmeldgegeven wordt gebruikt en controleer dat rotatie afhankelijke systemen niet verstoort.

6. Trek bij uitdiensttreding alle toegang volledig in

Koppel HR-gebeurtenissen en gebeurtenissen in de levenscyclus van opdrachtnemers aan het verwijderen van bevoorrechte toegang. Wanneer iemand vertrekt, van rol verandert of een project afrondt:

1. Trek de mogelijkheid in om nieuwe bevoorrechte sessies te starten.
2. Beëindig actieve sessies wanneer dat nodig is.
3. Verwijder beleidsregels, groepslidmaatschappen en goedkeuringen.
4. Roteer elk aanmeldgegeven dat de persoon mogelijk kende of gebruikte.
5. Leg het tijdstip, de uitvoerende persoon, de betrokken doelen en het resultaat vast.

Voer een voorbeeldtest voor uitdiensttreding uit, van melding tot geverifieerde intrekking. Daarmee wordt artikel 21(2)(j) meer dan een schriftelijke procedure: het wordt een controle die u kunt aantonen.

7. Stel auditbewijsmateriaal samen terwijl de controles werken

Wijs voor elke controle een verantwoordelijke aan, definieer de beoordelingsfrequentie en bepaal de bron van het bewijsmateriaal. Een praktisch bewijspakket moet het volgende bevatten:

• Inventaris van bevoorrechte accounts en doelen
• MFA-beleid, registratiestatus en authenticatieregistraties
• Toegangsaanvragen, goedkeuringen, tijdslimieten en registraties van automatisch verlopen
• Sessielogboeken, sessieopnames, waarschuwingen en onderzoeksregistraties
• Beleid voor opslag en rotatie van aanmeldgegevens met rotatiegebeurtenissen
• Toegangsbeoordelingen en herstelmaatregelen
• Registraties van uitdiensttreding die intrekking en rotatie van aanmeldgegevens tonen
• Relevant beveiligingsbeleid, verantwoordelijken voor bedrijfsmiddelen, retentieregels en goedkeuringen voor uitzonderingen

Selecteer regelmatig steekproeven en reproduceer deze alsof een toezichthouder of auditor ze had opgevraagd. Registreer ontbrekende gegevens, wijs herstelmaatregelen toe en test opnieuw. Het doel is geen eenmalige map met schermafbeeldingen, maar een herhaalbare keten van beleid naar controle, gebeurtenis, beoordeling en corrigerende maatregel.

Een praktische definitie van gereedheid

Een organisatie is wezenlijk beter voorbereid wanneer zij zes vragen kan beantwoorden zonder informele registraties te hoeven doorzoeken:

1. Wie heeft momenteel bevoorrechte toegang tot elk kritiek doel?
2. Is iedere bevoorrechte gebruiker sterk geauthenticeerd?
3. Bestaat toegang alleen voor een goedgekeurd doel en een beperkte tijd?
4. Kan de organisatie reconstrueren wat er in een bevoorrechte sessie is gebeurd?
5. Zijn aanmeldgegevens versleuteld, gecontroleerd en geroteerd zonder ze aan gebruikers bloot te stellen?
6. Kunnen toegangsrechten worden ingetrokken en bewijsmateriaal snel worden geleverd wanneer iemand vertrekt of er een incident plaatsvindt?

Als een antwoord onduidelijk is, is dat de volgende implementatieprioriteit. Gebruik de NIS2-artikel-21-toewijzing van VaultPAM om controles af te stemmen op het standaardkader van het bedrijf, en raadpleeg de veelgestelde vragen van VaultPAM voor praktische vragen over implementatie en het product.