Kontrola dostępu w NIS 2 na mocy artykułu 21(2)(i)+(j)
Artykuł 21(2)(i) wymienia polityki kontroli dostępu. Artykuł 21(2)(j) wymienia uwierzytelnianie wieloskładnikowe. CIR §11 obejmuje je razem w siedmiu podsekcjach. Ta strona przeprowadza przez szersze obowiązki dotyczące polityki, kont uprzywilejowanych i tożsamości. Dedykowana strona MFA obejmuje §11.7.
W skrócie
Kontrola dostępu znajduje się w punktach (i) i (j) artykułu 21(2). Punkt (i) wymienia 'bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami'. Punkt (j) wymienia 'stosowanie uwierzytelniania wieloskładnikowego lub rozwiązań uwierzytelniania ciągłego, zabezpieczoną komunikację głosową, wideo i tekstową'. Oba mają zastosowanie do każdego podmiotu kluczowego i ważnego w całej UE.
CIR (UE) 2024/2690 §11 obejmuje obie litery razem, pod nagłówkiem 'Kontrola dostępu (artykuł 21(2) punkty (i) i (j) dyrektywy (UE) 2022/2555)'. Dzieli obowiązek na siedem podsekcji: samą politykę, zarządzanie uprawnieniami, konta uprzywilejowane, systemy administracji systemowej, identyfikację, uwierzytelnianie oraz uwierzytelnianie wieloskładnikowe. Ta strona przeprowadza przez §11.1 do §11.6. Konkretnie dla §11.7 zobacz dedykowaną stronę MFA.
Niemcy wprowadzają obowiązek dotyczący polityki do §30(2)(9) BSIG, a obowiązek MFA do §30(2)(10) BSIG. Moduł IT-Grundschutz BSI ORP.4 'Identitäts- und Berechtigungsmanagement' jest zalecanym sposobem wdrożenia, a nie ustawowym standardem minimalnym.
Artykuł 21(2)(i) + (j) dyrektywy NIS 2 (2022/2555)
i) bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami; j) w stosownych przypadkach, stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.
Punkty (i) i (j) to dwa z dziesięciu środków artykułu 21(2). (i) łączy trzy rzeczy, z których kontrola dostępu jest elementem środkowym. (j) znajduje się obok niej na liście. Pkt 11 CIR obejmuje oba razem.
CIR (UE) 2024/2690, załącznik §11
Kontrola dostępu (art. 21 ust. 2 lit. i) oraz j) dyrektywy (UE) 2022/2555).
CIR §11 ma siedem podsekcji: §11.1 polityka kontroli dostępu, §11.2 zarządzanie uprawnieniami dostępu, §11.3 konta uprzywilejowane i konta administracji systemowej, §11.4 systemy administracji systemowej, §11.5 identyfikacja, §11.6 uwierzytelnianie, §11.7 uwierzytelnianie wieloskładnikowe. To rozporządzenie wiąże tylko rodzaje podmiotów wymienione w jego art. 1 (DNS, TLD, chmura, centra danych, CDN, MSP, MSSP, internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe, usługi zaufania).
§30(2)(9) i (10) BSIG (Niemcy)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Niemcy dzielą unijny punkt (i)+(j) na dwa numery BSIG. §30(2)(9) niesie kontrolę dostępu i zarządzanie aktywami. §30(2)(10) niesie MFA i bezpieczną komunikację. Treść to ta sama zasada UE.
Polityka i zarządzanie uprawnieniami
Spisz, jak działa dostęp (logiczny i fizyczny) dla pracowników, gości, dostawców i usługodawców. Przyznawaj, zmieniaj i odbieraj uprawnienia w oparciu o potrzebę biznesową: need-to-know, najmniejsze uprawnienia, rozdział obowiązków. Każde uprawnienie jest przypisane do imiennie wskazanej osoby. Odebranie przebiega przy zmianie zatrudnienia, a nie w cyklu tygodniowym. Dostęp stron trzecich (goście, dostawcy) jest śledzony.
Konta uprzywilejowane i administracyjne
Konta administracyjne otrzymują silną identyfikację, uwierzytelnianie i autoryzację. Wyłącznie dedykowane konta administracyjne, używane jedynie do instalacji, konfiguracji, zarządzania i utrzymania. Uprawnienia administracyjne są dopasowane indywidualnie i ograniczone. Systemy administracji systemowej służą wyłącznie administracji, są logicznie oddzielone od oprogramowania aplikacyjnego niesłużącego administracji i chronione uwierzytelnianiem oraz szyfrowaniem.
Tożsamość i uwierzytelnianie
Cykl życia tożsamości: unikalne identyfikatory, każdy identyfikator powiązany z jedną osobą, monitorowanie i rejestrowanie przez cały cykl życia. Procedury uwierzytelniania odpowiadają polityce kontroli dostępu: siła uwierzytelniania dopasowana do klasyfikacji zasobu, procedury zmiany, blokada po nieudanych próbach, limity czasu sesji, oddzielne poświadczenia dla kont uprzywilejowanych.
Need-to-know, najmniejsze uprawnienia, rozdział obowiązków
Pkt 11.2.2(a) CIR wymienia wszystkie trzy (wersja niemiecka mówi need-to-use tam, gdzie angielska mówi least privilege). Need-to-know: tylko osoby, które potrzebują danych, dostają dane. Najmniejsze uprawnienia: uprawnienia odpowiadają zadaniu, a nie tytułowi. Rozdział obowiązków: żadna pojedyncza osoba nie powinna móc przyznać, użyć i zaudytować tego samego uprawnienia. Jeśli Twoje grupy AD to 'IT' i 'cała reszta', nie wdrożyłeś żadnej z trzech.
Uprzywilejowane to nie po prostu zwykłe z większymi uprawnieniami
Dla objętych CIR dostawców cyfrowych pkt 11.3 i 11.4 podnoszą poprzeczkę konkretnie dla kont administracyjnych. Silna identyfikacja. MFA wymienione w samym §11.3, nie tylko w §11.7. Dedykowane konta używane wyłącznie do pracy administracyjnej. Systemy administracji systemowej logicznie oddzielone od oprogramowania aplikacyjnego. Chodzi o to: naruszone konto administracyjne narusza wszystko, więc konta administracyjne dostają własny reżim.
BSI / IT-Grundschutz ORP.4
Moduł IT-Grundschutz BSI ORP.4 'Identitäts- und Berechtigungsmanagement' obejmuje cykl życia tożsamości, uprawnienia oparte na rolach, rozdział kont uprzywilejowanych, reguły haseł i przeglądy. Dla firm jest to zalecenie. Tylko dla organów administracji federalnej § 44 ust. 2 BSIG stanowi, że spełnienie minimalnych wymagań Grundschutz spełnia § 30.
Wytyczne techniczne wdrożeniowe ENISA
Wytyczne techniczne wdrożeniowe ENISA dla CIR (UE) 2024/2690 przeprowadzają przez każdą podsekcję §11 w języku operacyjnym i mapują ją na ISO/IEC 27001:2022 (między innymi A.5.15 do A.5.18, A.8.2, A.8.3 i A.8.5) oraz NIST CSF 2.0 (PR.AA). ENISA zaznacza, że mapowanie nie jest miarą równoważności, więc istniejące wdrożenie ISO 27001 należy sprawdzić względem każdego punktu.
Krajowe ustawy transponujące
Każde państwo członkowskie transponuje artykuł 21(2)(i) i (j) do własnego prawa (Holandia: Cyberbeveiligingswet; Austria: NISG 2026; Belgia: własna ustawa NIS2). Dyrektywa ustala minimum, a państwa członkowskie mogą pójść dalej (art. 5 NIS 2), więc rozstrzyga tekst krajowy. Różni się też to, na który standard bazowy wskazuje krajowy organ regulacyjny.
Mamy grupy AD, więc mamy kontrolę dostępu.
Początek, nie koniec. Dla objętych CIR dostawców cyfrowych pkt 11.1 i 11.2 wymagają udokumentowanej polityki uprawnień dostępu, uprawnień przypisanych do imiennie wskazanych osób, procedury odbierania powiązanej ze zmianą zatrudnienia oraz dziennika audytowego przyznań i odebrań. Grupy AD dają Ci mechanizm. Nie dają Ci polityki, rejestru imiennie wskazanych osób ani procedury joiners-movers-leavers.
Nasi administratorzy używają swojego zwykłego konta do pracy administracyjnej, z sudo lub 'uruchom jako administrator'.
Dla objętych CIR dostawców cyfrowych pkt 11.3.2(b) wymaga wyodrębnionych kont używanych wyłącznie do administracji systemami, takiej jak instalacja, konfiguracja, zarządzanie lub utrzymanie. Dla wszystkich pozostałych jest to dobra praktyka, a nie obowiązek prawny. Zwykłe konto administratora jest do poczty, kalendarza i Excela; oddzielne konto administracyjne, z własnym drugim składnikiem, jest do pracy uprzywilejowanej. Mieszanie obu oznacza, że e-mail phishingowy może dotrzeć do roli administratora.
Synchronizujemy uprawnienia dostępu w każdy poniedziałek rano.
Blisko, ale nie to, czego wymaga pkt 11.2.2(b) CIR: uprawnienia zmieniają się po zakończeniu lub zmianie zatrudnienia, a nie w cyklu kalendarzowym. Dla przeglądu uprawnień pkt 11.2.3 mówi 'w planowanych odstępach', a żaden tekst nie ustala interwału. (Oba wiążą dostawców cyfrowych objętych CIR.)
Typowa konfiguracja: Active Directory lub Entra ID dla tożsamości, grupy AD dla dostępu do aplikacji, system HR wystawiający IT zgłoszenia onboardingowe. To daje mechanizm. Praca nad polityką mieści się w trzech miejscach.
Trzy miejsca do sprawdzenia najpierw: spisana polityka kontroli dostępu, która jest aktualna i zatwierdzona, dedykowane konta administracyjne oraz procedura joiners-movers-leavers napędzana przez HR, a nie wyłącznie przez IT (w przeciwnym razie konto kontraktora zalega, bo HR nigdy nie powiedział IT, że odszedł).
- Dyrektywa (UE) 2022/2555 (NIS 2), artykuł 21(2)(i) i (j): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (CIR), załącznik §11: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Ustawa BSI (BSIG), §30(2)(9) i §30(2)(10) w brzmieniu zmienionym ustawą o wdrożeniu NIS2 i wzmocnieniu cyberbezpieczeństwa
- IT-Grundschutz Kompendium, moduł ORP.4 'Identitäts- und Berechtigungsmanagement': bsi.bund.de/grundschutz
- Wytyczne techniczne wdrożeniowe ENISA dla CIR (UE) 2024/2690 (wersja 1.0, czerwiec 2025)
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
