Informationssicherheits- und Datenschutzexpertin
November 19, 2025
5 Minuten
.svg)
NIS2 macht MFA zur Pflicht für alle Zugänge, bei denen ein erhöhtes Risiko für Ihr Unternehmen besteht.
Privilegierte Konten benötigen die stärkste Authentifizierung, da kompromittierte Admin-Zugänge den größten Schaden verursachen.
Ein risikobasiertes MFA-Konzept schützt kritische Systeme wirksam und verhindert, dass schwache Passwörter zum Einfallstor werden.
Ein gestufter MFA-Rollout reduziert Risiken schnell und erhöht die Akzeptanz im Unternehmen.
Stellen Sie sich vor, der Schlüssel zu Ihrem gesamten Unternehmen wäre ein einziges, vielleicht sogar leicht zu erratendes Passwort. Eine beunruhigende Vorstellung, oder? Doch genau das ist die Realität in vielen Organisationen. Laut Verizon's Data Breach Investigations Report sind kompromittierte Zugangsdaten für einen Großteil aller Sicherheitsvorfälle verantwortlich. Mit der NIS2-Richtlinie wird diese Schwachstelle zur Chefsache, denn sie rückt die Zugangskontrolle und insbesondere die Multi-Faktor-Authentifizierung (MFA) ins Zentrum der Cyber-Sicherheitsanforderungen.
Doch was bedeutet das konkret für Sie? Reicht es, einfach eine App zu installieren? Die Antwort ist ein klares Nein. NIS2 verlangt mehr als nur ein technisches Häkchen – es fordert eine durchdachte Strategie, die auf einer soliden Risikoanalyse basiert. Dieser Artikel ist Ihr praktischer Leitfaden, der die rechtlichen Anforderungen von NIS2 in eine verständliche technische und architektonische Blaupause übersetzt. Wir zeigen Ihnen, wie Sie nicht nur konform werden, sondern Ihre Organisation wirklich sicherer machen.
Die NIS2-Richtlinie ist in ihrer Sprache oft juristisch und abstrakt. Der entscheidende Punkt für das Zugriffsmanagement findet sich in Artikel 21, der „Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit“ vorschreibt. Konkret geht es um „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“.
Für die Zugangskontrolle lassen sich daraus drei Kernanforderungen ableiten:
Diese drei Säulen – Identity and Access Management (IAM), Privileged Access Management (PAM) und MFA – bilden das Fundament eines NIS2-konformen Zugriffsmanagements.
Der entscheidende Begriff hierbei ist „angemessen“ (appropriate). NIS2 schreibt nicht vor, dass jedes System mit der stärksten MFA geschützt werden muss. Vielmehr fordert die Richtlinie einen risikobasierten Ansatz: Je kritischer ein System, desto stärker muss der Schutz sein.
Der häufigste Fehler bei der NIS2-Vorbereitung ist, sofort über technische Lösungen zu sprechen, ohne die Risiken zu verstehen. Die wichtigste Frage lautet nicht „Welches MFA-Tool sollen wir kaufen?“, sondern „Welche unserer Systeme sind am schützenswertesten und welche Angriffsvektoren gibt es?“.
Bewerten Sie Ihre Systeme und Daten nach zwei Kriterien:
Eine einfache Matrix hilft bei der Priorisierung:
Hohe Kritikalität:
Mittlere Kritikalität:
Niedrige Kritikalität:
MFA kombiniert Faktoren aus mindestens zwei der drei folgenden Kategorien:
Die Sicherheit dieser Faktoren variiert stark. SMS-basierte Codes gelten heute als unsicher und sollten nur noch in Ausnahmefällen für unkritische Systeme verwendet werden. FIDO2-Hardware-Token bieten den höchsten Schutz gegen Phishing und sind die empfohlene Methode für kritische Systeme und privilegierte Zugänge.
Die technische Umsetzung hängt stark von der Unternehmensgröße und der bestehenden IT-Landschaft ab.
Eine durchdachte Strategie ist besonders für den Mittelstand essenziell, um die Anforderungen effizient zu erfüllen. Ein Leitfaden zur NIS2-Compliance für KMU kann hier wertvolle Orientierung geben.
Ein "Big Bang"-Rollout von MFA ist selten eine gute Idee. Er überfordert sowohl die IT-Abteilung als auch die Mitarbeiter. Ein phasenweiser Ansatz hat sich in der Praxis bewährt.
Beginnen Sie dort, wo das Risiko am größten ist: bei allen Zugängen von außerhalb Ihres Netzwerks.
Der nächste Schritt ist die Absicherung der "Schlüssel zum Königreich". Kompromittierte Administratorenkonten haben die verheerendsten Auswirkungen.
Nachdem die kritischsten Bereiche geschützt sind, können Sie MFA für alle verbleibenden Mitarbeiter und Systeme ausrollen.
Technologie ist nur die halbe Miete. Ein MFA-Projekt scheitert oft an menschlichen Faktoren. Beachten Sie unbedingt folgende Punkte:
Die Umsetzung von Multi-Faktor-Authentifizierung und einem soliden Zugriffsmanagement ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. NIS2 setzt den Rahmen, aber die eigentliche Arbeit liegt in der sorgfältigen Planung, Implementierung und Überwachung, die auf die spezifischen Risiken Ihres Unternehmens zugeschnitten ist.
Beginnen Sie mit einer ehrlichen Bestandsaufnahme Ihrer Systeme und Zugriffsrechte. Die in diesem Artikel vorgestellte risikobasierte Vorgehensweise hilft Ihnen, Prioritäten zu setzen und Ressourcen dort zu investieren, wo sie den größten Schutz bieten.
Wenn Sie diesen Prozess strukturieren und automatisieren möchten, kann eine Plattform wie das Digital Compliance Office von SECJUR Sie dabei unterstützen, Ihre Risiken zu bewerten, Maßnahmen zu planen und die Umsetzung nachzuverfolgen. So stellen Sie sicher, dass Sie nicht nur die Anforderungen von NIS2 erfüllen, sondern die Sicherheit Ihres Unternehmens nachhaltig stärken.
Was ist Multi-Faktor-Authentifizierung (MFA)?MFA ist eine Sicherheitsmethode, bei der Benutzer ihre Identität durch die Kombination von mindestens zwei verschiedenen, unabhängigen Faktoren nachweisen müssen. Diese Faktoren stammen aus den Kategorien Wissen (Passwort), Besitz (Smartphone) und Inhärenz (Fingerabdruck).
Nein, nicht pauschal. NIS2 fordert MFA dort, wo es basierend auf einer Risikoanalyse „angemessen“ ist. Für kritische Systeme, privilegierte Benutzer und externe Zugänge ist MFA jedoch de facto ein Muss. Für ein internes, unkritisches System kann ein starkes Passwort weiterhin ausreichend sein.
Die Sicherheit rangiert wie folgt (von hoch nach niedrig):
Zwei-Faktor-Authentifizierung (2FA) ist eine spezifische Form der MFA, bei der genau zwei Faktoren verwendet werden. MFA ist der Oberbegriff und kann auch drei oder mehr Faktoren umfassen. Im Kontext von NIS2 werden die Begriffe oft synonym verwendet.
Wie gehe ich mit Altsystemen (Legacy Systems) um, die kein MFA unterstützen?Dies ist eine häufige und komplexe Herausforderung. Wenn das System nicht modernisiert werden kann, müssen kompensierende Maßnahmen ergriffen werden. Dazu gehören:
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
.avif)
Zwei Standards, ein Ziel: NIS2 und ISO 27001 scheinen auf den ersten Blick wie zwei große Baustellen. Doch wer die Synergien erkennt, kann Aufwand, Kosten und Risiken drastisch reduzieren. In diesem Artikel zeigen wir, wie Sie Doppelarbeit vermeiden und mit Automatisierung eine Compliance-Strategie entwickeln, die Ihr Unternehmen zukunftssicher macht.
.avif)
Die Umsetzung von Access Management nach ISO 27001 Annex A.9 kann eine echte Herausforderung sein. Regulierung und Überwachung von Zugriffen sind unerlässlich, um Daten und Informationen zu schützen. In diesem Artikel erfahren Sie, wie die Partnerschaft zwischen SECJUR und Cakewalk Unternehmen dabei unterstützt, die Anforderungen dieses ISO-Annex effizient zu erfüllen. Entdecken Sie die Bedeutung von Annex A.9, seine Ziele und die verschiedenen Zugangskontrollmethoden. Erfahren Sie, wie Cakewalks intelligente Lösungen und SECJURs Expertise die nahtlose Integration der Zugriffsverwaltung in ein Informationssicherheitsmanagementsystem ermöglichen.
Die Organisation Noyb („My Privacy is None of Your Business“) unter dem Vorsitz von Max Schrems startete Anfang 2021 eine Abmahnwelle gegenüber Unternehmen wegen datenschutzwidriger Cookie-Banner. Doch wie soll ein rechtskonformes Cookie-Banner eigentlich aussehen? Lesen Sie mehr Tipps zur Gestaltung Ihres Banners.
.svg)
.svg)
.svg){kind=small}