Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Stärkung der Cybersicherheit in kritischen und wichtigen Wirtschaftssektoren. Sie erweitert den Kreis der betroffenen Unternehmen erheblich und verpflichtet diese zu einem systematischen Management von Cyberrisiken. Dazu gehören unter anderem Zugriffskontrollen, sichere Authentifizierungsverfahren, die Behandlung von Sicherheitsvorfällen sowie die Sicherheit von Lieferketten. Die Richtlinie wird durch nationale Gesetze umgesetzt und stellt auch erhöhte Anforderungen an die Verantwortung der Geschäftsleitung.

Ein wesentlicher Bestandteil der NIS2-Umsetzung ist die Frage, wer auf welche Systeme und Informationen zugreifen darf und wie diese Zugriffe kontrolliert und nachgewiesen werden. Genau hier setzen Identity & Access Management (IAM) und Privileged Access Management (PAM) an. Sie ermöglichen die strukturierte Verwaltung digitaler Identitäten, die Durchsetzung von Berechtigungsrichtlinien und die Absicherung besonders kritischer Zugriffe.

Als spezialisierter IAM-Dienstleister unterstützt IPG Unternehmen dabei, diese Anforderungen in bestehende IT-Landschaften zu integrieren. Unsere NIS2-Beratung verbindet die Analyse vorhandener IAM-Prozesse und Sicherheitsmassnahmen mit konkreten Handlungsempfehlungen und deren technischer Umsetzung. So entstehen nicht nur dokumentierte Konzepte, sondern wirksame und nachvollziehbare Sicherheitskontrollen.

Identity & Access Management (IAM) und Privileged Access Management (PAM) leisten einen wesentlichen Beitrag zur technischen Umsetzung der NIS2-Anforderungen. Sie stellen sicher, dass digitale Identitäten kontrolliert verwaltet, Zugriffsrechte nach klaren Regeln vergeben und besonders kritische Zugriffe abgesichert werden. Gleichzeitig ermöglichen sie die Dokumentation und Überprüfung von Sicherheitsmassnahmen und schaffen damit wichtige Voraussetzungen für die regulatorische Nachweisführung.

Zu den wichtigsten Massnahmen gehören:

• Zugriffskontrolle und Berechtigungsmanagement: Umsetzung dokumentierter Berechtigungskonzepte, rollenbasierter Zugriffskontrollen (RBAC) und des Least-Privilege-Prinzips, damit Mitarbeitende ausschliesslich die benötigten Zugriffsrechte erhalten.

• Identitäts- und Benutzerverwaltung: Automatisierte Verwaltung des gesamten Identitätslebenszyklus (Joiner-Mover-Leaver), einschliesslich der Vergabe, Anpassung und Entziehung von Berechtigungen.

• Privilegierte Zugriffe: Absicherung administrativer Konten durch PAM, zeitlich begrenzte Berechtigungen (Just-in-Time Access) und die Protokollierung privilegierter Sitzungen.

• Starke Authentifizierung: Schutz kritischer Systeme und Anwendungen durch Multi-Faktor-Authentifizierung (MFA) und geeignete Zugriffskontrollen.

• Identity Governance und Compliance: Regelmässige Überprüfung von Berechtigungen, Rezertifizierungen und nachvollziehbare Genehmigungsprozesse zur Unterstützung regulatorischer Nachweispflichten.

• Sicherheit in der Lieferkette: Kontrollierte Vergabe und Überwachung von Zugriffsrechten für externe Dienstleister, Partner und andere Drittparteien.

Die regulatorische Grundlage bildet insbesondere Artikel 21 der NIS2-Richtlinie (EU) 2022/2555. Dieser nennt unter anderem Konzepte für die Zugriffskontrolle, die Verwaltung von Anlagen sowie den Einsatz geeigneter Authentifizierungsverfahren.

Wie sich solche Anforderungen mit strukturierten Identitäts- und Berechtigungsprozessen umsetzen lassen, erläutern wir in unserem Expertenbericht Identity Governance für NIS-2, DORA und KRITIS 2.0.