DORA · Art. 9
DORA-009-IAM
DORA-konforme Zugangskontrolle mit PAM und MFA implementieren
Anforderung
IKT-bezogene Zugangskontrolle – Zugriffsmanagement, Authentifizierung und privilegierte Zugänge nach Minimalprinzip.
Fundstelle
DORA Art. 9
Gap-Check
Sind für alle IKT-Systeme Zugriffsrechte nach dem Minimalprinzip vergeben, privilegierte Konten separat verwaltet und durch MFA geschützt?
Wenn ja
Regelmäßige Rezertifizierung aller Zugriffsrechte dokumentieren.
Teilweise
Teilweise implementiert. Vollständige Abdeckung mit PAM sicherstellen.
Wenn nein
IAM nach Minimalprinzip fehlt – Kernkontrolle unter DORA und NIS-2.
Maßnahme
- Privilegierte Konten inventarisieren und in PAM-System übernehmen
- Just-in-Time-Zugriff für Admin-Aktivitäten einrichten
- MFA für alle privilegierten und Remote-Zugänge erzwingen
- Halbjährliche Rezertifizierung aller Zugriffsrechte
Aufwand
hoch
Schätzung
8 bis 15 Personentage (PAM-Einführung + Rezertifizierung)
Zeithorizont
kurzfristig
Hilfsmittel
PAM-System, MFA-Lösung, IAM-Plattform
Vertiefung
DORA für Nicht-Finanzexperten, Kap. 8 – Technische Mindestfähigkeiten
Risiko
Privilegienmissbrauch ist führende Angriffsmethode bei gezielten Angriffen auf Finanzinstitute.
Eintritt
4 von 5
Auswirkung
5 von 5
Bußgeldrahmen
5.000.000 EUR oder 1% des weltweiten Tagesumsatzes
DORA Art. 50 – täglich bis zur Behebung möglich
Control und Nachweis
Control
PAM mit Least-Privilege, MFA und halbjährlicher Zugriffsrezertifizierung
Art
technisch
Dringlichkeit
sofort
Nachweis
PAM-Konfiguration + Rezertifizierungsprotokoll
Vorlage
DORA Zugangskontroll-Policy
Verknüpfungen
Querverweise
NIS-2 Art. 21 §2i, NIS-2 Art. 21 §2j, CRA Anh. I §1c, ISO 27001 A.9
ISO 27001:2022
A.9.1.1, A.9.1.2, A.9.2.1, A.9.2.3, A.9.2.5, A.9.2.6, A.9.4.1, A.9.4.2 (vollständig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json