Prüfprogramm NIS2: Berechtigungsmanagement.
Wie Sie prüfen, ob Zugriffsrechte nur an Berechtigte vergeben, regelmäßig überprüft und rechtzeitig entzogen werden, einschließlich privilegierter Konten und Mehrfaktor-Authentifizierung.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation Zugriffe auf Netz- und Informationssysteme durch ein dokumentiertes, wirksames Verfahren steuert: vom Antrag über die Genehmigung und Vergabe bis zur regelmäßigen Überprüfung und zum Entzug. Sie beurteilt außerdem, ob erhöhte Rechte und der Fernzugriff zusätzlich abgesichert sind.
Geltungsbereich
- Fachanwendungen, Betriebssysteme, Datenbanken, Netzkomponenten und Verwaltungskonsolen, die für wesentliche Dienste oder Prozesse genutzt werden
- Benutzerkonten von Mitarbeitenden, Externen, Dienstleistern sowie technische Konten und Notfallkonten
- Prozesse für Eintritt, Wechsel und Austritt gemeinsam mit der Personalabteilung
- Nicht Gegenstand: physischer Zutritt und die Authentifizierung von Kundenzugängen, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie zur Zugriffssteuerung besteht, ist von der Leitung freigegeben, aktuell und deckt Systeme, Daten und Standorte im Geltungsbereich ab. | NIS2-Richtlinie Art. 21 Abs. 2 lit. i; BSI ORP.4 | Richtlinie lesen, Freigabe, Version und Datum der letzten Überprüfung feststellen und den Geltungsbereich mit der Systemübersicht abgleichen. | Richtlinie mit Freigabevermerk und Änderungshistorie, Systemübersicht |
| 2 | Die Leitung wird über Berechtigungsrisiken informiert und trägt die Maßnahmen zum Risikomanagement mit. | NIS2-Richtlinie Art. 20 | Berichte und Protokolle der letzten zwölf Monate auf Themen zu Zugriffen und Berechtigungen durchsehen. | Berichte an die Geschäftsleitung, Sitzungsprotokolle, Beschlüsse |
| 3 | Ein Rollen- und Berechtigungskonzept legt fest, welche Rolle welche Rechte erhält, und folgt dem Prinzip der geringsten Rechte. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 5.15 | Konzept für fünf ausgewählte Anwendungen mit den tatsächlich vergebenen Rechten vergleichen und Abweichungen erfragen. | Rollenmatrix, Berechtigungskonzepte je Anwendung, Systemauszüge der Rechte |
| 4 | Für Systeme und Rollen sind Verantwortliche benannt, die Berechtigungen vor der Vergabe genehmigen. | BSI ORP.4 | Zehn Berechtigungsanträge auswählen und prüfen, ob die Genehmigung durch die fachlich verantwortliche Person vor der Vergabe vorliegt. | Anträge oder Tickets mit Genehmigung und Zeitstempel, Liste der Verantwortlichen |
| 5 | Neue Konten und Rechte beim Eintritt entsprechen dem Antrag und der Funktion. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 5.16 | Aus der Eintrittsliste der Personalabteilung eine Stichprobe ziehen und die vergebenen Rechte mit dem Antrag abgleichen. | Eintrittsliste, Anträge, Auszug der vergebenen Rechte |
| 6 | Bei einem Funktionswechsel werden nicht mehr benötigte Rechte entzogen. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 5.18 | Funktionswechsel der letzten zwölf Monate auswählen und die Rechte vor und nach dem Wechsel vergleichen. | Liste der Wechsel, Rechteauszüge vor und nach dem Wechsel, Tickets |
| 7 | Konten ausgeschiedener Personen werden zeitnah gesperrt. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 5.18 | Austrittsliste zu einem Stichtag mit den aktiven Konten abgleichen und die Zeit zwischen Austritt und Sperrung ermitteln. | Austrittsliste, Kontenliste mit Status und Sperrdatum, Sperrprotokoll |
| 8 | Berechtigungen werden in festgelegten Abständen durch die Verantwortlichen überprüft und Befunde nachverfolgt. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 5.18 | Letzte Überprüfung ansehen: Umfang, Rücklauf, Fristen und ob entzogene Rechte tatsächlich entfernt wurden. | Berichte der Rezertifizierung, Bestätigungen der Verantwortlichen, Tickets zum Entzug |
| 9 | Privilegierte Konten sind inventarisiert, auf das Nötige beschränkt und von der normalen Arbeit getrennt. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 8.2 | Privilegierte Konten direkt aus den Systemen auslesen, mit dem Inventar vergleichen und prüfen, ob Administratorkonten für E-Mail oder Internet genutzt werden. | Inventar privilegierter Konten, Systemauszüge der Administratorgruppen, Genehmigungen |
| 10 | Mehrfaktor-Authentifizierung ist für Fernzugriff und privilegierte Zugänge eingesetzt, Ausnahmen sind begründet und genehmigt. | NIS2-Richtlinie Art. 21 Abs. 2 lit. j; § 30 Abs. 2 Nr. 10 BSIG; ISO/IEC 27001:2022 Anhang A 8.5 | Konfiguration von VPN, Remote-Zugängen und Verwaltungskonsolen prüfen und die Ausnahmen mit ihrer Begründung durchgehen. | Konfigurationsauszüge, Liste der Ausnahmen mit Genehmigung |
| 11 | Technische Konten, Dienstkonten und Notfallkonten sind erfasst, haben eine verantwortliche Person und ein geregeltes Passwortverfahren. | BSI ORP.4 | Dienst- und Notfallkonten aus den Systemen ableiten und für eine Stichprobe Verantwortliche und Passwortverfahren erfragen. | Inventar der technischen Konten, Verfahrensbeschreibung, Nachweis der Passwortänderung |
| 12 | Die Anforderungen an Passwörter und andere Authentisierungsmerkmale sind festgelegt und technisch durchgesetzt. | ISO/IEC 27001:2022 Anhang A 5.17 und 8.5 | Festgelegte Regeln mit den Einstellungen in Verzeichnisdienst und zentralen Anwendungen vergleichen. | Richtlinie, Konfigurationsauszüge |
| 13 | Änderungen an Berechtigungen und die Nutzung privilegierter Konten werden protokolliert und ausgewertet. | ISO/IEC 27001:2022 Anhang A 8.15 | Protokollierung für privilegierte Aktivitäten prüfen und eine Auswertung samt Reaktion auf einen Fund nachvollziehen. | Protokollkonfiguration, Auswertungen, Meldungen und Tickets |
Unterlagen zur Anforderung
- Richtlinie zur Zugriffssteuerung und Berechtigungsvergabe
- Rollen- und Berechtigungskonzepte, Rollenmatrix
- Inventar der Systeme und der privilegierten sowie technischen Konten
- Ein- und Austrittslisten der Personalabteilung für die letzten zwölf Monate
- Berichte der letzten Rezertifizierung mit Nachverfolgung
- Systemauszüge zu Benutzern, Gruppen und Administratorrechten zu einem Stichtag
- Konfigurationsnachweise zu Mehrfaktor-Authentifizierung und Kennwortregeln
- Berichte an die Geschäftsleitung zum Thema Zugriffe
Typische Feststellungen
- Die Überprüfung der Berechtigungen findet nicht statt oder wird ohne Prüfung der Details bestätigt.
- Konten ausgeschiedener Personen bleiben über Wochen aktiv, weil die Meldung der Personalabteilung fehlt.
- Privilegierte Konten sind nicht vollständig inventarisiert, einzelne Administratoren nutzen ihr Konto für den Alltag.
- Dienstkonten haben keine verantwortliche Person und ein Passwort, das seit Jahren unverändert ist.
- Mehrfaktor-Authentifizierung gilt mit nicht begründeten Ausnahmen, insbesondere für Dienstleister.
- Rollen sind nicht dokumentiert, Rechte werden durch Kopieren vorhandener Benutzer vergeben.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen
Abdeckung der Revisionsstandards Produkt im Überblick