Die NIS2-Richtlinie fördert direkt die Verwendung der Multi-Faktor-Authentifizierung (MFA) als Maßnahme der Cybersicherheit.

• Artikel 21, Absatz 2(j): Nennt explizit „die Nutzung von Multi-Faktor-Authentifizierungslösungen oder einer kontinuierlichen Authentifizierung“ als eines der Schlüsselelemente für die Sicherheit, die wesentliche und wichtige Einrichtungen bei der Umsetzung von Risikomanagementmaßnahmen im Bereich der Cybersicherheit berücksichtigen müssen.

Obwohl die Richtlinie die Einführung von MFA nicht in allen Fällen zwingend vorschreibt, unterstreicht ihre Aufnahme in diese Elemente die Bedeutung dieser Sicherheitskontrolle, insbesondere für:

• Zugriffskontrolle: MFA fügt eine zusätzliche Sicherheitsebene für den Zugriff auf sensible Systeme und Daten hinzu. Dies macht es für unbefugte Benutzer erheblich schwieriger, Zugriff zu erlangen, selbst wenn sie einen Authentifizierungsfaktor (z. B. ein Passwort) kompromittiert haben.
• Verringerung der Auswirkungen kompromittierter Anmeldedaten: Angesichts der Verbreitung von Phishing-Angriffen und Sicherheitsverletzungen, die zum Diebstahl von Passwörtern führen, fungiert MFA als kritische Schutzmaßnahme, da sie zusätzliche Verifizierungsfaktoren erfordert, die für Angreifer in der Regel schwerer zu erlangen sind.

Die allgemeinen Anforderungen der NIS2-Richtlinie unterstützen die Verwendung von MFA implizit auch durch:

• Risikomanagement-Ansatz: Die Betonung der Richtlinie auf einen risikobasierten Ansatz für die Cybersicherheit (Artikel 21) impliziert, dass Einrichtungen die Risiken für ihre Systeme und Daten bewerten und angemessene Kontrollen implementieren müssen. Angesichts der Wirksamkeit von MFA bei der Minderung von Risiken durch unbefugten Zugriff würde dies wahrscheinlich als eine verhältnismäßige und wesentliche Maßnahme für viele der Richtlinie unterliegende Organisationen angesehen werden.
• Sicherheit von Netz- und Informationssystemen: Artikel 21, Absatz 1, verlangt von den Einrichtungen, Maßnahmen zur Bewältigung von Risiken zu ergreifen und „die Auswirkungen von Sicherheitsvorfällen zu verhindern oder auf ein Mindestmaß zu begrenzen.“ MFA steht in direktem Einklang mit diesem Ziel, indem sie die Zugriffssicherheit stärkt und die Wahrscheinlichkeit erfolgreicher Sicherheitsverletzungen verringert.

Zusammenfassend: Obwohl die NIS2-Richtlinie die Verwendung der Multi-Faktor-Authentifizierung nicht in jedem Szenario explizit vorschreibt, fördert sie deren Einführung nachdrücklich durch:

• Die direkte Aufnahme als zu berücksichtigendes Sicherheitsschlüsselelement.
• Den regulatorischen Rahmen, der auf dem Risikomanagement basiert, bei dem MFA eine äußerst relevante Kontrollmaßnahme darstellt.
• Die Betonung der Notwendigkeit, Systeme zu schützen und die Auswirkungen von Vorfällen zu minimieren.

Für Organisationen, die ihren Compliance-Prozess strukturieren oder überprüfen müssen, unterstützt der NIS2-Compliance-Service von ISGroup bei der Identifizierung der erforderlichen technischen Maßnahmen, einschließlich der Bewertung der in Artikel 21 vorgesehenen Authentifizierungskontrollen. Der vollständige Text der Verordnung kann im offiziellen Dokument der NIS2-Richtlinie eingesehen werden.

[Callforaction-NIS2-Footer]