Controlul accesului NIS 2 conform Articolului 21(2)(i)+(j)
Articolul 21(2)(i) numește politicile de control al accesului. Articolul 21(2)(j) numește autentificarea multifactor. CIR §11 le acoperă împreună în șapte subsecțiuni. Această pagină parcurge obligațiile mai largi de politică, cont privilegiat și identitate. Pagina dedicată MFA acoperă §11.7.
Pe scurt
Controlul accesului stă la punctele (i) și (j) din Articolul 21(2). Punctul (i) numește 'securitatea resurselor umane, politici de control al accesului și managementul activelor'. Punctul (j) numește 'utilizarea autentificării multifactor sau a soluțiilor de autentificare continuă, comunicații securizate de voce, video și text'. Ambele se aplică fiecărei entități esențiale și importante din întreaga UE.
CIR (UE) 2024/2690 §11 acoperă ambele litere împreună, sub titlul 'Controlul accesului (Articolul 21(2) punctele (i) și (j) din Directiva (UE) 2022/2555)'. Împarte obligația în șapte subsecțiuni: politica în sine, gestionarea drepturilor, conturile privilegiate, sistemele de administrare a sistemelor, identificarea, autentificarea și autentificarea multifactor. Această pagină parcurge §11.1 până la §11.6. Pentru §11.7 în mod specific, vedeți pagina dedicată MFA.
Germania pune obligația de politică în §30(2)(9) BSIG și obligația MFA în §30(2)(10) BSIG. Modulul IT-Grundschutz al BSI ORP.4 'Identitäts- und Berechtigungsmanagement' este o modalitate recomandată de implementare, nu o bază legală.
Articolul 21(2)(i) + (j) Directiva NIS 2 (2022/2555)
(i) securitatea resurselor umane, politicile de control al accesului și gestionarea activelor; (j) utilizarea de soluții de autentificare multifactor sau de autentificare continuă, de comunicații securizate voce, video și text și de sisteme securizate de comunicații de urgență în cadrul entității, după caz.
Punctele (i) și (j) sunt două dintre cele zece măsuri din Articolul 21(2). (i) grupează trei lucruri, dintre care controlul accesului este elementul de mijloc. (j) stă lângă el pe listă. Punctul 11 din CIR le acoperă pe ambele împreună.
CIR (UE) 2024/2690, Anexa §11
Controlul accesului [articolul 21 alineatul (2) literele (i) și (j) din Directiva (UE) 2022/2555].
CIR §11 are șapte subsecțiuni: §11.1 politica de control al accesului, §11.2 gestionarea drepturilor de acces, §11.3 conturile privilegiate și conturile de administrare a sistemelor, §11.4 sistemele de administrare a sistemelor, §11.5 identificarea, §11.6 autentificarea, §11.7 autentificarea multifactor. Acest regulament obligă numai tipurile de entități enumerate la art. 1 (DNS, TLD, cloud, centre de date, CDN, MSP, MSSP, piețe online, motoare de căutare, rețele sociale, servicii de încredere).
§30(2)(9) și (10) BSIG (Germania)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Germania împarte punctul (i)+(j) al UE în două numere BSIG. §30(2)(9) poartă controlul accesului și managementul activelor. §30(2)(10) poartă MFA și comunicațiile securizate. Substanța este aceeași regulă UE.
Politică și gestionarea drepturilor
Notați cum funcționează accesul (logic și fizic) pentru personal, vizitatori, furnizori și prestatori de servicii. Acordați, modificați și revocați drepturi pe baza nevoii de afaceri: nevoia de a ști, privilegiul minim, separarea sarcinilor. Fiecare drept este atribuit unei persoane numite. Revocarea rulează la schimbarea angajării, nu pe un ciclu săptămânal. Accesul terț (vizitatori, furnizori) este urmărit.
Conturi privilegiate și de administrare
Conturile de administrare primesc identificare, autentificare și autorizare puternice. Doar conturi de administrare dedicate, folosite exclusiv pentru instalare, configurare, gestionare și întreținere. Drepturile de administrare sunt adaptate individual și restricționate. Sistemele de administrare a sistemelor sunt folosite doar pentru administrare, separate logic de software-ul de aplicație care nu este folosit pentru administrare și protejate prin autentificare și criptare.
Identitate și autentificare
Ciclul de viață al identității: ID-uri unice, fiecare ID legat de o persoană, monitorizare și jurnalizare pe tot ciclul de viață. Procedurile de autentificare se potrivesc cu politica de control al accesului: puterea autentificării scalată la clasificarea activului, proceduri de schimbare, blocare la încercări eșuate, expirarea sesiunilor, credențiale separate pentru conturile privilegiate.
Nevoia de a ști, privilegiul minim, separarea sarcinilor
Punctul 11.2.2(a) CIR le numește pe toate trei (versiunea germană spune need-to-use acolo unde cea engleză spune least privilege). Nevoia de a ști: doar oamenii care au nevoie de date primesc datele. Privilegiul minim: drepturile se potrivesc cu sarcina, nu cu funcția. Separarea sarcinilor: nicio persoană singură nu ar trebui să poată acorda, folosi și audita același drept. Dacă grupurile dvs. AD sunt 'IT' și 'toți ceilalți', nu ați implementat niciuna dintre cele trei.
Privilegiat nu înseamnă doar obișnuit cu mai multe drepturi
Pentru furnizorii digitali acoperiți de CIR, punctele 11.3 și 11.4 ridică ștacheta specific pentru conturile de administrare. Identificare puternică. MFA numit în §11.3 în sine, nu doar în §11.7. Conturi dedicate folosite doar pentru munca de administrare. Sisteme de administrare a sistemelor separate logic de software-ul de aplicație. Ideea: un cont de administrare compromis compromite totul, deci conturile de administrare primesc propriul lor regim.
BSI / IT-Grundschutz ORP.4
Modulul IT-Grundschutz al BSI ORP.4 'Identitäts- und Berechtigungsmanagement' acoperă ciclul de viață al identității, drepturile bazate pe roluri, separarea conturilor privilegiate, regulile de parole și revizuirile. Pentru companii este o recomandare. Doar pentru organismele administrației federale § 44(2) BSIG prevede că îndeplinirea cerințelor minime Grundschutz satisface § 30.
Ghidul tehnic de implementare ENISA
Ghidul tehnic de implementare al ENISA pentru CIR (UE) 2024/2690 parcurge fiecare subsecțiune §11 în limbaj operațional și o corelează cu ISO/IEC 27001:2022 (printre altele A.5.15 până la A.5.18, A.8.2, A.8.3 și A.8.5) și NIST CSF 2.0 (PR.AA). ENISA precizează că maparea nu este o măsură a echivalenței, deci verificați o configurație ISO 27001 existentă în raport cu fiecare punct.
Legi naționale de transpunere
Fiecare stat membru transpune Articolul 21(2)(i) și (j) în propria lege (Țările de Jos: Cyberbeveiligingswet; Austria: NISG 2026; Belgia: propria lege NIS2). Directiva stabilește un minim, iar statele membre pot merge mai departe (art. 5 NIS 2), deci textul național decide. Diferă și spre ce standard de bază indică autoritatea națională de reglementare.
Avem grupuri AD, deci avem control al accesului.
Un început, nu finalul. Pentru furnizorii digitali acoperiți de CIR, punctele 11.1 și 11.2 cer o politică documentată a drepturilor de acces, drepturi atribuite persoanelor numite, o procedură de revocare legată de schimbarea angajării și un jurnal de audit al acordărilor și revocărilor. Grupurile AD vă dau mecanismul. Nu vă dau politica, registrul de persoane numite sau procedura de intrări-mutări-plecări.
Administratorii noștri folosesc contul lor normal pentru munca de administrare, cu sudo sau 'rulează ca administrator'.
Pentru furnizorii digitali acoperiți de CIR, punctul 11.3.2(b) cere conturi specifice folosite exclusiv pentru administrarea sistemelor, de exemplu instalare, configurare, gestionare sau întreținere. Pentru toți ceilalți este o practică solidă, nu o obligație legală. Contul obișnuit al unui administrator este pentru e-mail, calendar și Excel; un cont de administrare separat, cu propriul al doilea factor, este pentru munca privilegiată. Amestecarea celor două înseamnă că un e-mail de phishing poate ajunge la rolul de administrare.
Sincronizăm drepturile de acces în fiecare luni dimineață.
Aproape, dar nu ce cere punctul 11.2.2(b) CIR: drepturile se modifică la încetarea sau la schimbarea angajării, nu pe un ciclu de calendar. Pentru revizuirea drepturilor, punctul 11.2.3 spune 'la intervale planificate', iar niciun text nu stabilește intervalul. (Ambele obligă furnizorii digitali acoperiți de CIR.)
O configurație tipică: Active Directory sau Entra ID pentru identități, grupuri AD pentru accesul la aplicații, un sistem HR care emite tichete de onboarding către IT. Asta vă dă mecanismul. Munca de politică se află în trei locuri.
Trei locuri de verificat mai întâi: o politică scrisă de control al accesului, actuală și aprobată, conturi de administrare dedicate și o procedură de intrări-mutări-plecări condusă de HR, nu doar de IT (altfel contul unui contractor persistă pentru că HR nu a spus niciodată IT-ului că a plecat).
- Directiva (UE) 2022/2555 (NIS 2), Articolul 21(2)(i) și (j). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamentul de punere în aplicare al Comisiei (UE) 2024/2690 (CIR), Anexa §11. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Legea BSI (BSIG), §30(2)(9) și §30(2)(10) astfel cum a fost modificată prin Legea de punere în aplicare a NIS2 și de consolidare a securității cibernetice
- IT-Grundschutz Compendium, modulul ORP.4 'Identitäts- und Berechtigungsmanagement'. bsi.bund.de/grundschutz
- Ghidul tehnic de implementare ENISA pentru CIR (UE) 2024/2690 (versiunea 1.0, iunie 2025)
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
