NIS2-Compliance: IAM und Zugriffskontrolle vor dem Audit 2026 optimieren

Ein Sicherheitsteam, das keine Liste darüber vorlegen kann, wer auf welche Systeme zugreift und warum jede Person diesen Zugriff noch benötigt, ist nicht mehr nur Angreifern ausgesetzt. Nach der NIS2-Richtlinie ist diese Lücke nun auch für Aufsichtsbehörden sichtbar und setzt die Führungskräfte des Unternehmens einem persönlichen Haftungsrisiko aus. Prüfer kommen nicht, um die Raffinesse eines Sicherheitsprogramms zu bewerten. Sie prüfen, ob ein Unternehmen auf Abruf nachweisen kann, dass der Zugriff auf sensible Systeme und Daten autorisiert, überprüft und protokolliert ist.

Diese Unterscheidung ist entscheidend, weil sie verändert, was als „ausreichend“ gilt. Wie Help Net Security am 1. September 2026 berichtete, werden Audits im Zusammenhang mit nationalen NIS2-Umsetzungsgesetzen ab Oktober in allen EU-Mitgliedstaaten rechtsverbindlich, wobei mehrere Länder feste Registrierungs- und Durchsetzungsdaten für die kommenden Wochen festgelegt haben. Kritische Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Wert höher ist. Wichtige Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Leitungsorgane, also Vorstände und benannte Führungskräfte, haften persönlich und können zeitweise von Führungspositionen ausgeschlossen werden, wenn ihr Unternehmen keine angemessene Governance im Umgang mit Cybersecurity-Risiken nachweisen kann.

All dies hängt nicht davon ab, ob ein Unternehmen jemals Opfer eines Datenschutzverstoßes war. Entscheidend ist, ob das Unternehmen seine Maßnahmen belegen kann. Ein inaktives Servicekonto, das seit 18 Monaten nicht überprüft wurde, ein externer Dienstleister, der das Projekt verlassen hat, aber weiterhin Admin-Rechte besitzt, oder ein Prüfprotokoll, das zwar existiert, aber nicht in einem für Prüfer nutzbaren Format exportiert werden kann – all das sind potenzielle Feststellungen, unabhängig davon, ob sie bereits ausgenutzt wurden.

Deshalb ist Identity und Access Management quasi über Nacht von einer technischen Hygienemaßnahme zu einem Compliance-Risiko auf Vorstandsebene geworden. Unternehmen, die NIS2-Compliance als reine Dokumentationsaufgabe und nicht als Nachweisführung betrachten, sind am ehesten gefährdet, ihr erstes Audit nicht zu bestehen. Im Folgenden wird erläutert, welche Nachweisstandards gefordert werden, warum Transparenz bei Zugangsdaten und Zugriffsrechten der schnellste Weg zur Schließung von Lücken ist und wie eine Plattform mit einheitlichen Audit-Trails und gesteuertem Zugriff die Ausgangslage schon vor dem Audit grundlegend verändert.

Wichtige Erkenntnisse

1. NIS2 ahndet fehlende Nachweise, nicht unvollkommene Sicherheit.

Prüfer kontrollieren, ob Unternehmen nachweisen können, dass Zugriffe autorisiert, überprüft und protokolliert wurden – nicht, ob ihr Sicherheitsprogramm fehlerfrei ist.

2. Die finanziellen und persönlichen Risiken sind gravierend.

Kritische Einrichtungen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Leitungsorgane haften persönlich, einschließlich möglicher temporärer Führungsausschlüsse.

3. Nachweise zur Zugriffskontrolle sind der schnellste Compliance-Erfolg.

Die Erfassung von Zugangsdaten, das Schließen inaktiver Konten und die Bereitstellung exportierbarer Audit-Trails bringen Unternehmen innerhalb weniger Wochen in Richtung Audit-Bereitschaft – während andere NIS2-Pflichten wie das Supply-Chain-Risikomanagement Monate zur Umsetzung benötigen.

4. Die von Aufsichtsbehörden am häufigsten gefundenen Lücken sind spezifisch und wiederkehrend.

Inaktive Konten, überprivilegierte Rollen und Zugangsdaten, die seit 90 Tagen oder länger nicht überprüft wurden, sind die Nachweislücken, die bei fast jedem fehlgeschlagenen Zugriffskontroll-Audit auftreten.

5. Einheitliche Audit-Trails und attributbasierte Zugriffskontrolle schließen die Lücke direkt.

Plattformen, die einen einzigen, exportierbaren Audit-Trail über alle sensiblen Datenkanäle hinweg erzeugen und rollen- sowie attributbasierte Berechtigungen kombinieren, liefern Compliance-Teams die Nachweise, die Prüfer erwarten – ohne manuelle Nacharbeit.

Der Nachweisstandard hinter der NIS2-Durchsetzung

NIS2, offiziell Richtlinie (EU) 2022/2555, ersetzt die ursprüngliche NIS-Richtlinie mit deutlich erweitertem Geltungsbereich und wesentlich strikterer Durchsetzung. Sie gilt für kritische und wichtige Einrichtungen in Energie, Transport, Banken, Gesundheitswesen, digitaler Infrastruktur, öffentlicher Verwaltung und einer wachsenden Zahl weiterer Sektoren, die von Mitgliedstaaten in ihre nationalen Umsetzungsgesetze aufgenommen wurden. Zwei Vorschriften sind für dieses Thema besonders relevant: Artikel 21(2)(i) verlangt den Einsatz von Multifaktor-Authentifizierung, sicheren Kommunikationswegen und Zugriffskontrollrichtlinien. Artikel 21(2)(d) fordert Sicherheitsmaßnahmen für die Lieferkette, die die Verantwortung eines Unternehmens auf seine Dienstleister und Lieferanten ausweiten.

Der praktische Unterschied zwischen diesen beiden Pflichten ist der Zeitrahmen. Laut Help Net Security können Unternehmen dokumentierte, durchsetzbare Zugriffskontrollrichtlinien meist innerhalb von zwei bis vier Wochen einführen, während Programme zum Management von Lieferkettenrisiken realistisch sechs bis zwölf Monate zur Reife benötigen. Genau deshalb ist Zugriffskontrolle der erste Schritt für Unternehmen, die das Compliance-Ziel im Oktober erreichen wollen. Es ist die NIS2-Anforderung, die am direktesten im Einflussbereich des Unternehmens liegt und die Prüfer am schnellsten verifizieren können, weil die Nachweise – oder deren Fehlen – bereits in Identity-Systemen und Log-Repositories vorhanden sind.

Prüfer testen, ob die dokumentierte Zugriffspolitik mit der tatsächlichen Umsetzung übereinstimmt. Eine schriftliche Richtlinie, die eine vierteljährliche Überprüfung vorsieht, ist für Prüfer wertlos, wenn niemand die Nachweise liefern kann. Die Behauptung, inaktive Konten würden umgehend deaktiviert, ist bedeutungslos, wenn das Identity-System Servicekonten ausweist, die seit über einem Jahr nicht authentifiziert wurden und weiterhin aktiv sind. Das ist der Nachweisstandard, den NIS2 einführt – und er verzeiht keine Lücke zwischen Dokumentation und technischer Umsetzung.

Bußgeldstufen und persönliche Haftung für Leitungsorgane

Die finanzielle Haftung nach NIS2 ist in zwei Stufen gegliedert, die sich an der Kritikalität des jeweiligen Sektors orientieren. Kritische Einrichtungen – darunter große Unternehmen aus Energie, Banken, Gesundheitswesen und digitaler Infrastruktur – drohen Verwaltungsstrafen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist. Wichtige Einrichtungen, eine breitere Kategorie, die Postdienste, Abfallwirtschaft, Lebensmittelproduktion und Fertigung umfasst, drohen Bußgelder bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Umsatzes.

Was NIS2 von vielen bisherigen Compliance-Rahmenwerken unterscheidet, ist die zusätzliche persönliche Haftungsebene über den Unternehmensstrafen hinaus. Leitungsorgane – also Vorstände und Führungskräfte, die für das Management von Cybersecurity-Risiken verantwortlich sind – können persönlich haftbar gemacht werden, wenn sie keine angemessenen Maßnahmen umsetzen. Nationale Behörden können eine öffentliche Erklärung verlangen, in der die verantwortlichen juristischen und natürlichen Personen benannt werden, und in schwerwiegenden Fällen können sie Einzelpersonen vorübergehend von Führungsfunktionen ausschließen, bis die Mängel behoben sind. Das ist ein grundlegend anderer Druck als ein Compliance-Beauftragter, der eine Lückenanalyse an die Führung weiterleitet. Nun sitzen CISO, Compliance-Beauftragter und Vorstand gemeinsam an einem Tisch – mit dem gleichen Ziel: die Nachweislücke zu schließen, bevor der Prüfer kommt.

Diese Haftungsstruktur erklärt, warum NIS2 in diesem Jahr eines der meistdiskutierten Themen in Vorstandsberichten ist. Eine Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report unter 459 Sicherheits-, Compliance- und Technologieverantwortlichen zeigt, dass europäische und britische Unternehmen Anforderungen an KI und Datenregulierung häufiger als größte Compliance-Herausforderung nennen als jede andere Region. Der Bericht führt dies direkt auf das konkrete Durchsetzungsumfeld durch DSGVO, EU AI Act und NIS2-Meldefristen zurück. Solcher regulatorischer Druck bleibt nicht lange auf Policy-Ebene – er schlägt sich in Vorstandsagenden, Budgetanträgen und zunehmend in persönlichen Risikogesprächen mit dem General Counsel nieder.

Warum Transparenz bei Zugangsdaten und Zugriffsrechten der schnellste Compliance-Erfolg ist

Jeder Fehler bei der Zugriffskontrolle lässt sich letztlich auf ein Zugangsdatenproblem zurückführen – egal ob es sich um einen Mitarbeiter, einen externen Dienstleister, ein Servicekonto oder einen API-Schlüssel handelt, an den sich niemand mehr erinnert. Der Verizon 2026 Data Breach Investigations Report zeigt, dass das Ausnutzen von Schwachstellen inzwischen häufiger als Zugangsdatenmissbrauch als initialer Angriffsvektor auftritt (31 Prozent der Datenschutzverstöße), aber Zugangsdatenmissbrauch bleibt weiterhin eine Bedrohung. Er findet sich nun tiefer in der Angriffskette. Laut Verizons 2026-Ergebnissen, berichtet von Help Net Security, tauchen Zugangsdaten in 39 Prozent der Datenschutzverstöße irgendwo in der Kette auf – weniger als „Vordertür“, mehr als Werkzeug für laterale Bewegungen nach dem Eindringen.

Die Kostendaten unterstreichen, warum dies speziell für Compliance-Programme relevant ist – nicht nur für Sicherheitsprogramme. Der IBM Cost of a Data Breach Report 2026 beziffert die durchschnittlichen Kosten eines Datenschutzverstoßes weltweit auf 4,99 Millionen Dollar – ein Anstieg um 12 Prozent zum Vorjahr und ein neuer Höchstwert. Identity und Access Management war laut IBM der drittgrößte Kostensenkungsfaktor und senkte die durchschnittlichen Kosten um 225.622 Dollar, wenn es richtig implementiert wurde. Fehlerhaft verwaltete Geheimnisse und Schlüssel bewirkten das Gegenteil und erhöhten die Kosten um 198.933 Dollar. Allein die Nichteinhaltung gesetzlicher Vorgaben verursachte zusätzlich 201.112 Dollar. Access Governance ist also kein „weiches“ Kontrollinstrument, das nur auf Folien gut aussieht – sondern einer der wenigen Hebel mit direkt messbarer Wirkung auf Datenschutzkosten und regulatorische Risiken.

Hier zeigt sich auch, warum Transparenz bei Zugangsdaten als schnellster Compliance-Erfolg gilt. Die Erfassung aller nicht verwalteten Zugangsdaten – einschließlich Servicekonten, API-Schlüsseln und Zertifikaten – ist ein Projekt, das Identity-Teams meist sofort mit vorhandenen Tools starten können. Die Durchsetzung von phishing-resistenter Multifaktor-Authentifizierung für privilegierte und Remote-Zugänge ist ähnlich schnell umsetzbar. Beides erfordert keinen neuen Beschaffungsprozess oder eine monatelange Integration. Entscheidend ist die Disziplin, die Bestandsaufnahme abzuschließen und die Ergebnisse umzusetzen – meist sind es mehr vergessene Konten und verwaiste Berechtigungen als erwartet.

Die häufigsten Nachweislücken bei Zugriffskontrollen im Audit

Drei spezifische Lücken tauchen bei fast jedem fehlgeschlagenen Zugriffskontroll-Audit auf. Jede erfordert einen etwas anderen Ansatz zur Behebung.

Inaktive Konten sind der häufigste Befund. Das sind Benutzerkonten, Servicekonten und API-Zugangsdaten, die im Verzeichnis aktiv bleiben, lange nachdem die Person, das Projekt oder die Integration nicht mehr benötigt wird. Ein vierteljährlicher Lebenszyklus-Review, der an einen dokumentierten Prozess und nicht an eine spontane Bereinigung gebunden ist, ist der Standard, den NIS2-Prüfer erwarten. Das Fehlen dieses Reviews ist bereits ein Befund – unabhängig davon, ob ein inaktives Konto missbraucht wurde.

Überprivilegierte Rollen sind die zweite wiederkehrende Lücke. Zugriffsrechte häufen sich im Laufe der Zeit an, wenn Mitarbeiter Teams wechseln, temporäre Projekte übernehmen oder Berechtigungen von Vorgängern übernehmen, ohne dass alte Rechte entzogen werden. Rollenbasierte Zugriffskontrolle, kombiniert mit attributbasierter Zugriffskontrolle für granularere Bedingungen wie Gerätezustand, Standort oder Datenklassifizierung, gibt Unternehmen die strukturelle Möglichkeit, Berechtigungen am aktuellen Bedarf auszurichten statt an historischen Ansammlungen. NIST SP 800-63B und ENISA empfehlen beide, Zugriffsrechte standardmäßig zu minimieren und regelmäßig neu zu vergeben – nicht einmalig zu gewähren und dann unbegrenzt zu belassen.

Ungeprüfte Zugangsdaten für ungenutzte Zugriffe – also Konten oder Schlüssel, die seit 90 Tagen oder länger nicht authentifiziert wurden – runden die Liste ab. Diese Lücke wird bei einer NIS2-Gap-Analyse meist als erstes sichtbar, weil sie direkt aus Logdaten messbar ist und keine Interviews oder Policy-Reviews erfordert. Ein Unternehmen, das diese Liste in Minuten aus seiner Identity-Infrastruktur abrufen kann, ist für Audits deutlich besser aufgestellt als eines, das dafür Wochen zur manuellen Rekonstruktion benötigt.

Der Kiteworks 2026 Annual Survey Report quantifiziert, wie verbreitet diese Nachweislücke ist. 63 Prozent der befragten Unternehmen hatten in den letzten 12 Monaten mindestens eine Compliance-Folge – etwa einen Audit-Befund, einen verpflichtenden Maßnahmenplan, eine Vorstandseskalation, eine Vertragsstrafe oder eine formelle Untersuchung durch Aufsichtsbehörden. Die Hälfte konnte kein vollständiges Audit-Protokoll über Datenzugriffe innerhalb eines Werktages liefern, und nur 33 Prozent hatten überhaupt manipulationssichere Audit-Trails. Die Empfehlung des Berichts ist eindeutig: DORA-, NIS2- und EU-AI-Act-Auditpflichten laufen auf Zeitplänen, die die Hälfte der befragten Unternehmen aktuell nicht erfüllen kann – und diese Nachweisfähigkeit lässt sich nicht erst nachträglich aufbauen, wenn die Aufsichtsbehörde bereits anfragt.

So bauen Sie ein Audit-bereites Zugriffskontrollprogramm auf

Die Schließung dieser Lücken erfordert weniger neue Technologie als vielmehr die Operationalisierung vorhandener Kontrollen. Ein dokumentierter, wiederholbarer vierteljährlicher Zugriffsreview ist die Basis. Dieser Zyklus sollte alle Kontotypen abdecken – nicht nur Mitarbeiter – und einen Nachweis liefern, den Prüfer ohne Live-Demo des Sicherheitsteams einsehen können.

Zugriffskontrollen, die auf zero trust architecture-Prinzipien basieren – also standardmäßig kein Vertrauen, unabhängig vom Netzwerkstandort –, reduzieren die Zahl überprivilegierter Konten, bevor sie entstehen. Multifaktor-Authentifizierung für privilegierte und Remote-Zugänge, möglichst phishing-resistent gemäß NIST SP 800-63B Abschnitt 5.2.10, schließt einen der häufigsten Angriffsvektoren direkt aus. Keine dieser Kontrollen ist exotisch. Der Unterschied zwischen Unternehmen, die Audits problemlos bestehen, und solchen, die scheitern, liegt meist darin, ob Kontrollen technisch durchgesetzt, automatisch protokolliert und nach festem Zeitplan überprüft werden – und nicht nur in einer Policy stehen, die niemand konsequent befolgt.

Zentrale, exportierbare Audit-Trails verbinden das gesamte Programm. Prüfer wollen nicht hören, dass Logs irgendwo in einem Dutzend Systemen existieren. Sie erwarten einen einzigen, konsistenten Nachweis darüber, wer wann worauf zugegriffen hat und mit welcher Berechtigung – in einem Format, das das Audit unterstützt, nicht erschwert. Hier überschneiden sich auch Drittparteienrisiken und Zugriffskontrolle direkt, denn Zugriffe von Dienstleistern und externen Partnern sind genau die Kategorie von Zugangsdaten, die nach Projektende am ehesten unbemerkt veralten.

Ein CISO-Dashboard, das inaktive Konten, veraltete Berechtigungen und die Vollständigkeit der Audit-Trails auf einen Blick zeigt, gibt Compliance- und Sicherheitsverantwortlichen das gleiche Bild, das auch Prüfer sehen wollen – und zwar vor dem Audit, nicht erst währenddessen. Diese Transparenz macht aus einer NIS2-Prüfung eine Bestätigung bereits geleisteter Arbeit statt eines hektischen Nachholprozesses.

Wie Kiteworks die NIS2-Nachweisanforderungen abdeckt

Kiteworks Secure Data Exchange basiert auf dem gleichen „Evidence-First“-Prinzip, das NIS2-Prüfer nun durchsetzen. Die Plattform erzeugt einen einheitlichen Audit-Trail über alle Kanäle, auf denen vertrauliche Inhalte bewegt werden – einschließlich E-Mail, Managed File Transfer, Filesharing und Web-Formulare. So müssen Compliance-Teams bei einer Anfrage nicht Zugriffsverläufe aus Dutzenden Einzelsystemen rekonstruieren. Rollen- und attributbasierte Zugriffskontrollen setzen Least-Privilege-Berechtigungen auf Inhaltsebene durch – und adressieren damit direkt die überprivilegierten Rollen, die NIS2-Audits am häufigsten beanstanden.

Kiteworks ist FedRAMP Moderate-zertifiziert, besitzt eine ISO-27001-Compliance-Zertifizierung und eine SOC-2-Compliance-Bescheinigung. NIS2 ist eines der regulatorischen Rahmenwerke, für die die Plattform mit dokumentierten, überprüfbaren Nachweisen – und nicht nur durch Selbstzertifizierung – entwickelt wurde. Für Unternehmen, die auf die Compliance-Deadline im Oktober zusteuern, bedeutet das: Die Zugangsdateninventur, der vierteljährliche Review-Workflow und der exportierbare Audit-Trail, den Prüfer erwarten, sind bereits strukturelle Bestandteile der Plattform – und kein Projekt, das unter Zeitdruck erst aufgebaut werden muss.

Da die Compliance-Kosten mit jeder bekannten, aber nicht geschlossenen Nachweislücke steigen, ist der schnellste Weg zur Audit-Bereitschaft meist der, der am wenigsten neue Infrastruktur erfordert. Die Konsolidierung von Access Governance und Audit-Trails auf einer Plattform, die genau für diesen Nachweisstandard entwickelt wurde, ist oft günstiger und erheblich schneller, als die gleiche Transparenz nachträglich aus mehreren Einzellösungen zusammenzusetzen.

Erfahren Sie mehr darüber, wie Sie NIS2-Nachweislücken bei Zugriffskontrollen vor dem nächsten Audit Ihres Unternehmens schließen – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag Der Kampf um Ihre Daten: Wie CLOUD- und SHIELD-Gesetze Sicherheit und Datenschutz gegeneinander ausspielen
• Blogbeitrag Sensible Daten schützen: DSPM auf Ihre Compliance-Ziele abstimmen
• Kurzbericht Top 3 FERPA-Verstöße und wie Sie diese vermeiden
• Blogbeitrag Executive Order 14117: Schutz sensibler personenbezogener Massendaten von US-Bürgern
• Blogbeitrag NIS2-Compliance erforderlich? Starten Sie mit ISO 27001