Compliance
Von der Regulierung zur nachweisbaren Zugriffssteuerung
NIS2, DORA, ISO 27001 und die DSGVO stellen alle dieselbe Grundfrage: Können Sie nachweisen, wer worauf Zugriff hat – und dass der Zugriff berechtigt ist? Wir übersetzen die Anforderungen in konkrete IAM-Kontrollen und helfen Ihnen, die Lücken in priorisierter Reihenfolge zu schließen.
Der Nutzen
Compliance ist nicht nur Pflicht, sondern ein Wettbewerbsvorteil
Reduziertes Risiko
Kontrollierte Zugriffe und geschützte privilegierte Konten verringern Angriffsfläche und Schadenspotenzial.
Effizientes On- und Offboarding
Automatisierte Prozesse beseitigen Wartezeiten beim Eintritt und vergessene Zugriffe beim Austritt.
Bessere Nutzererfahrung
SSO und moderne MFA machen den sicheren Weg zum einfachen Weg.
Gestärkte Governance
Rezertifizierung und Audit-Trail machen das Audit zu einem Bericht, nicht zu einem Projekt.
NIS2
So unterstützt IAM Ihre NIS2-Pflichten
NIS2 macht die Steuerung von Zugriffen zur Leitungsaufgabe. Die Tabelle zeigt, wo die drei IAM-Disziplinen die Anforderungen tragen.
| Anforderungsbereich | IGA | PAM | AM |
|---|---|---|---|
| Richtlinien für die Zugriffskontrolle (Art. 21) | ✓ | ✓ | ✓ |
| Verwaltung von Benutzerkonten und Berechtigungen | ✓ | – | – |
| Schutz privilegierter Konten | – | ✓ | – |
| Multi-Faktor-Authentifizierung | – | – | ✓ |
| Dokumentation und Berichterstattung an die Leitung | ✓ | ✓ | – |
| Umgang mit Vorfällen (Nachverfolgung von Zugriffen) | ✓ | ✓ | ✓ |
IGA = Identity Governance & Administration · PAM = Privileged Access Management · AM = Access Management.
Unsere Haltung
Von einem Bericht wird niemand compliant. Compliant wird man von Prozessen, die laufen, wenn niemand hinsieht.
Deshalb übersetzen wir die Anforderungen in Kontrollen, die Sie jeden Monat belegen können, statt in eine Gap-Analyse, die bis zur nächsten Prüfung Staub ansetzt.
DORA
IAM-Kontrollen in DORA für den Finanzsektor
| Anforderungsbereich | IGA | PAM | AM |
|---|---|---|---|
| Verwaltung von Zugriffsrechten (Art. 9) | ✓ | – | – |
| Least Privilege und Funktionstrennung | ✓ | ✓ | – |
| Privilegierter Zugriff auf kritische Systeme | – | ✓ | – |
| Starke Authentifizierung | – | – | ✓ |
| Periodische Überprüfung von Zugriffen (Rezertifizierung) | ✓ | – | – |
| Nachvollziehbarkeit und Audit-Dokumentation | ✓ | ✓ | – |
ISO 27001
Zugriffskontrollen in ISO 27001 (Annex A)
| Kontrollbereich | IGA | PAM | AM |
|---|---|---|---|
| A.5.15 Zugriffskontrolle | ✓ | – | ✓ |
| A.5.16 Identitätsmanagement | ✓ | – | – |
| A.5.17 Authentifizierungsinformationen | – | ✓ | ✓ |
| A.5.18 Zugriffsrechte (Vergabe und Entzug) | ✓ | – | – |
| A.8.2 Privilegierte Zugriffsrechte | – | ✓ | – |
| A.8.5 Sichere Authentifizierung | – | – | ✓ |
CIS Controls
Identität und Zugriff in CIS Controls v8.1
CIS Controls ist keine gesetzliche Anforderung, sondern ein freiwilliger Rahmen, mit dem viele ihre Maßnahmen priorisieren. Die identitätsnahen Safeguards liegen gebündelt in Control 5 und 6.
| Safeguard | IGA | PAM | AM |
|---|---|---|---|
| 5.1 Bestandsverzeichnis der Konten, inkl. Administrator- und Servicekonten | ✓ | – | – |
| 5.3 Deaktivierung inaktiver Konten | ✓ | – | – |
| 5.4 Administratorrechte auf dedizierten Konten | – | ✓ | – |
| 5.5 Bestandsverzeichnis der Servicekonten | ✓ | ✓ | – |
| 6.1 und 6.2 Prozesse für Vergabe und Entzug von Zugriffsrechten | ✓ | – | – |
| 6.3–6.5 MFA für extern erreichbare Anwendungen, Fernzugriff und administrativen Zugriff | – | ✓ | ✓ |
| 6.7 Zentrale Zugriffssteuerung über Verzeichnisdienst oder SSO | – | – | ✓ |
| 6.8 Rollenbasierte Zugriffssteuerung und regelmäßige Überprüfung | ✓ | – | – |
Safeguard-Nummern und -Titel folgen CIS Controls v8.1 (Juni 2024), der aktuellen Fassung.
Compliance Check
Von der Analyse zur Umsetzung – wir begleiten Sie den ganzen Weg
Unser Compliance Check ist ein klar abgegrenztes Beratungsformat, das die Anforderungen konkret macht.
- Durchsicht
Wir gehen Ihr heutiges IAM-Setup durch: Prozesse, Technologie und Dokumentation.
- Gap-Erfassung
Ihr Setup wird an den Anforderungen von NIS2, DSGVO, ISO 27001 und/oder DORA gemessen – dort, wo sie Identität und Zugriff betreffen.
- Priorisierte Roadmap
Ein Maßnahmenplan in priorisierter Reihenfolge: was die größten Risiken zuerst schließt und was warten kann.
Sind Sie bereit für das nächste Audit?
Vereinbaren Sie ein unverbindliches Gespräch darüber, wo die Regulierung Ihre Zugriffssteuerung trifft – und was zuerst geschlossen werden sollte.