CROSS · NIS-2 Art. 21 §2i + DORA Art. 9 + CRA Anh. I §1c + EU AI Act Art. 14
CROSS-IAM-001
Collect Once, Comply Many: Least-Privilege-IAM deckt NIS-2, DORA, CRA und EU AI Act gleichzeitig ab
Anforderung
Zugriffskontrollen nach Minimalprinzip (Least Privilege) sind unter vier Regulierungen gleichzeitig gefordert. Ein einziges BAM-Objekt deckt alle ab.
Fundstelle
NIS-2 Art. 21 §2i + DORA Art. 9 + CRA Anh. I §1c + EU AI Act Art. 14
Gap-Check
Sind Zugriffsrechte für alle Systeme und Anwendungen nach dem Minimalprinzip vergeben – mit regelmäßiger Rezertifizierung?
Wenn ja
Vier Regulierungen gleichzeitig adressiert. Rezertifizierungsprotokoll aufbewahren.
Teilweise
Teilweise implementiert. Vollständige Abdeckung aller Systeme sicherstellen.
Wenn nein
Kritische Lücke in vier Regulierungen gleichzeitig. Höchste Priorität.
Maßnahme
- Vollständiges Zugriffs-Inventar aller Systeme erstellen
- Zugriffsrechte auf Minimum reduzieren und überprivilegierte Konten bereinigen
- Privilegierte Konten mit PAM und MFA schützen
- Halbjährliche Rezertifizierung einführen und protokollieren
Aufwand
hoch
Schätzung
10 bis 20 Personentage (Deckt NIS-2+DORA+CRA+AI Act – einmalig)
Zeithorizont
sofort
Hilfsmittel
IAM-System, PAM, MFA, Rezertifizierungs-Workflow
Vertiefung
NIS-2 Survival Kit + DORA für Nicht-Finanzexperten, Kap. 12 (NIS-2) + Kap. 8 (DORA)
Risiko
Überprivilegierte Konten sind Hauptangriffsvektor – betrifft vier Regulierungen gleichzeitig.
Eintritt
4 von 5
Auswirkung
5 von 5
Bußgeldrahmen
35.000.000 EUR oder bis zu 7% Jahresumsatz
Höchste der zutreffenden Regulierungen
Control und Nachweis
Control
Least-Privilege-IAM mit PAM, MFA und halbjährlicher Rezertifizierung
Art
technisch
Dringlichkeit
sofort
Nachweis
IAM-Konfiguration + PAM-Nachweis + Rezertifizierungsprotokoll
Vorlage
Cross-Control IAM-Policy
Verknüpfungen
Querverweise
NIS2-021i-IAM, DORA-009-IAM, CRA-001a-SECURITY-BY-DESIGN, AIACT-014-OVERSIGHT
ISO 27001:2022
A.9.1.1, A.9.1.2, A.9.2.3, A.9.4.1, A.9.4.2 (vollständig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json