NIS-2 · Art. 21 §2j
NIS2-021j-MFA
MFA für alle privilegierten Konten und Remote-Zugänge aktivieren
Anforderung
Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, gesicherte Sprach-, Video- und Textkommunikation.
Fundstelle
NIS-2 Art. 21 §2j
Gap-Check
Ist Multi-Faktor-Authentifizierung für alle privilegierten Konten, Remote-Zugriffe und geschäftskritischen Anwendungen aktiviert?
Wenn ja
MFA-Coverage vollständig dokumentieren. TOTP statt SMS empfohlen.
Teilweise
MFA nur teilweise aktiviert. Vollständige Abdeckung priorisieren.
Wenn nein
MFA fehlt – kritisches Risiko. Sofort für Admin-Konten aktivieren.
Maßnahme
- Admin-Konten: MFA sofort aktivieren (TOTP oder Hardware-Key)
- VPN / Remote-Desktop: MFA-Pflicht durchsetzen
- Geschäftskritische SaaS-Anwendungen: MFA aktivieren
- MFA-Recovery-Prozess dokumentieren
Aufwand
gering
Schätzung
1 bis 3 Personentage (MFA-Aktivierung technisch schnell)
Zeithorizont
sofort
Hilfsmittel
Microsoft Authenticator, YubiKey, Conditional Access
Vertiefung
NIS-2 Survival Kit, Kap. 12 – MFA und Authentifizierung
Risiko
MFA reduziert Credential-basierte Angriffe um 99,9%. Ohne MFA sind Passwortleaks fatal.
Eintritt
4 von 5
Auswirkung
5 von 5
Bußgeldrahmen
10.000.000 EUR oder 2% Jahresumsatz
NIS-2 Art. 34 – je nachdem was höher ist
Control und Nachweis
Control
MFA-Pflicht für alle Admin-Konten, VPN, Remote-Desktop und kritische SaaS
Art
technisch
Dringlichkeit
sofort
Nachweis
MFA-Konfigurationsnachweis + Ausnahmeliste
Vorlage
MFA-Policy
Verknüpfungen
Querverweise
DORA Art. 9, ISO 27001 A.9.4.2
ISO 27001:2022
A.9.4.2 (vollständig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json