Maßnahme 9: Personalsicherheit, Zugriffskontrolle und Anlagenmanagement.
Das Gesetz verlangt Konzepte für die Sicherheit des Personals, für die Zugriffskontrolle und für die Verwaltung Ihrer IT-Systeme, Produkte und Prozesse.
- § 30 Abs. 2 Nr. 9 BSIG
- Stand: 19.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
Sie regeln Eintritt, Wechsel und Austritt von Mitarbeitenden so, dass Zugänge, Geräte und Verpflichtungen kontrolliert vergeben und entzogen werden. Berechtigungen vergeben Sie nur nach Bedarf, trennen privilegierte Konten und überprüfen Rechte regelmäßig. Ein aktuelles Inventar ordnet jedem System, jeder Anwendung und jedem Datenbestand Schutzbedarf und verantwortliche Person zu.
Was das Gesetz verlangt.
§ 30 Abs. 2 Nr. 9 BSIG nennt als Mindestmaßnahme die „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“. Die Vorgabe setzt Art. 21 Abs. 2 Buchst. i der Richtlinie (EU) 2022/2555 um, die von Sicherheit des Personals, Konzepten für die Zugriffskontrolle und Management von Anlagen spricht. Das BSI versteht die Verwaltung von IKT-Systemen als Asset-Management.
Die drei Themen hängen zusammen: Wer in die Einrichtung kommt, sie wechselt oder verlässt, bekommt Zugänge und Geräte oder gibt sie zurück; Zugriffsrechte beziehen sich auf Systeme und Daten, die im Inventar erfasst sein müssen. Lücken in einem Bereich wirken sich auf die anderen aus, etwa wenn Konten ausgeschiedener Mitarbeitender aktiv bleiben, weil niemand weiß, auf welchen Systemen sie bestehen.
Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und einschlägige Normen berücksichtigen. Das BSI ordnet die Maßnahme unter anderem den Abschnitten zu Personalsicherheit, Zugriffskontrolle und Inventar in ISO/IEC 27001 zu, weist aber darauf hin, dass eine Umsetzung nach diesen Standards nicht automatisch alle Anforderungen erfüllt. Für die Verhältnismäßigkeit gilt § 30 Abs. 1 Satz 2 BSIG: Umfang und Tiefe der Konzepte richten sich nach Risikoexposition und Größe der Einrichtung.
§ 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren. Für Anbieter digitaler Dienste gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor, die Personalsicherheit, Zugriffskontrolle und Asset-Management jeweils eigens behandelt. Betreiber kritischer Anlagen setzen nach § 31 Abs. 1 BSIG für ihre kritischen Systeme ein höheres Schutzniveau an.
Nachweise.
Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern und Prüfungen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für diese Maßnahme werden typischerweise diese Unterlagen relevant sein. Die Tabelle ist ein Vorschlag; feste Formvorgaben hat das BSI für Nachweise nach § 30 BSIG bisher nicht veröffentlicht.
| Nachweis | Form | Verantwortlich | Turnus |
|---|---|---|---|
| Konzept Personalsicherheit | Freigegebene Regelung zu Einstellung, Verpflichtung, Vertretung, Fremdpersonal und Austritt | Personalabteilung mit Informationssicherheit | Jährlich und anlassbezogen |
| Joiner-Mover-Leaver-Protokolle | Checklisten mit Freigaben, Rückgaben und Entzug von Zugängen je Personalvorgang | Personalabteilung und IT-Betrieb | Je Vorgang |
| Vertraulichkeitsverpflichtungen | Unterzeichnete Erklärungen von Beschäftigten und Fremdpersonal | Personalabteilung, Einkauf für Externe | Bei Eintritt und Beauftragung |
| Berechtigungskonzept und -matrix | Rollen mit zugehörigen Rechten je System, Funktionstrennung | Systemverantwortliche, Koordination durch Informationssicherheit | Jährlich und bei neuen Systemen |
| Rezertifizierung von Berechtigungen | Ergebnisse der Zugriffsüberprüfungen mit Entscheidungen und Entzügen | Fachvorgesetzte und Systemverantwortliche | Risikobasiert, privilegierte Konten häufiger |
| Übersicht privilegierter Konten | Liste der Administrations- und Dienstkonten mit Verantwortlichen und Protokollierung | IT-Betrieb | Laufend, Review quartalsweise |
| Inventar der Assets | Verzeichnis von Hardware, Software, Daten und Cloud-Diensten mit Schutzbedarf und Verantwortlichen | IT-Leitung mit Fachbereichen | Laufend, Review halbjährlich |
Typische Lücken.
Konten bleiben nach dem Austritt aktiv.
Die Personalabteilung kennt das Austrittsdatum, die IT erfährt davon zu spät oder gar nicht. Besonders betroffen sind Konten in Cloud-Diensten, die nicht am zentralen Verzeichnisdienst hängen. Das BSI nennt nicht gelöschte Konten und alte, nicht mehr benötigte Rechte als typisches Risiko.
Rechte wachsen mit jedem Abteilungswechsel.
Wer die Abteilung wechselt, erhält neue Rechte, behält aber die alten. Ohne regelmäßige Überprüfung entstehen so Konten mit weit mehr Zugriff als nötig. Das Prinzip der geringsten Rechte verlangt, Berechtigungen bei personellen Veränderungen unverzüglich anzupassen.
Dienstkonten und Administratoren fehlen in der Übersicht.
Zugriffsüberprüfungen beschränken sich oft auf persönliche Konten. Dienstkonten, gemeinsam genutzte Administrationskonten und Standardkonten von Geräten bleiben außen vor, obwohl sie besonders weitreichende Rechte haben. Vorkonfigurierte Zugangsdaten sind nach Empfehlung des BSI vor dem produktiven Einsatz zu ändern.
Das Inventar ist eine veraltete Tabelle.
Ein einmal erstelltes Inventar ohne Pflegeprozess bildet neue Cloud-Dienste und Schatten-IT nicht ab. Nicht erfasste Assets entziehen sich allen anderen Sicherheitsmaßnahmen, von der Zugriffskontrolle bis zum Patchmanagement.
Fremdpersonal ist nicht geregelt.
Externe Dienstleister, Leiharbeitskräfte und Wartungstechniker erhalten Zugänge, ohne zur Einhaltung der internen Regelungen verpflichtet zu sein. Das BSI empfiehlt Vertraulichkeitsvereinbarungen vor dem Zugang zu vertraulichen Informationen, in Schriftform.
Umsetzung in Schritten.
Inventar aufbauen oder bereinigen.
Erfassen Sie Hardware, Software, Datenbestände und Cloud-Dienste mit Standort, Version, Abhängigkeiten, Schutzbedarf und verantwortlicher Person. Beginnen Sie mit den Systemen, die für Ihre NIS2-relevanten Dienste genutzt werden, und legen Sie fest, wie neue Assets in das Inventar gelangen.
Eintritt, Wechsel und Austritt regeln.
Legen Sie gemeinsam mit der Personalabteilung Checklisten für alle drei Vorgänge fest: Verpflichtungen, Ausgabe und Rückgabe von Geräten und Ausweisen, Vergabe und Entzug von Zugängen. Bestimmen Sie, wer die IT informiert und bis wann der Entzug erfolgt.
Berechtigungskonzept erstellen.
Definieren Sie Rollen und die zugehörigen Rechte je System nach dem Prinzip der geringsten Rechte. Halten Sie unvereinbare Funktionen fest, die nicht in einer Hand liegen dürfen, und regeln Sie, wer Berechtigungen beantragt und genehmigt.
Privilegierte Konten trennen.
Administratoren arbeiten mit getrennten Konten für Verwaltungsaufgaben. Erfassen Sie Dienstkonten mit einer verantwortlichen Person, ändern Sie Standardzugangsdaten und protokollieren Sie privilegierte Zugriffe.
Zugriffe regelmäßig überprüfen.
Lassen Sie Fachvorgesetzte und Systemverantwortliche die Berechtigungen ihres Bereichs bestätigen oder entziehen. Legen Sie den Turnus risikobasiert fest, für privilegierte Konten kürzer als für Standardrechte, und deaktivieren Sie länger inaktive Konten.
Fremdpersonal einbeziehen.
Verpflichten Sie externe Personen vor dem Zugang schriftlich zur Vertraulichkeit und zur Einhaltung der internen Regelungen. Befristen Sie ihre Zugänge und beaufsichtigen Sie kurzfristige Einsätze in sicherheitsrelevanten Bereichen.
Vertretungen festlegen.
Benennen Sie für wesentliche Geschäftsprozesse und Schlüsselrollen Vertretungen und stellen Sie sicher, dass diese das nötige Wissen haben, etwa durch Dokumentation oder Schulung.
In Secani.
In Secani bildet der Katalog „NIS2 Deutschland“ § 30 Abs. 2 Nr. 9 BSIG als Anforderung DE-REQ-13 ab. Die Controls DE-CTL-07, DE-CTL-22 und DE-CTL-23 decken Inventar, Personalvorgänge und Zugriffsrechte ab. Ein Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen.
Systeme, Dienste und Assets erfassen Sie im Inventar mit verantwortlicher Person; dasselbe Inventar dient der Risikoanalyse. Berechtigungen prüfen Sie mit Zugriffsüberprüfungen (Access Reviews): Verantwortliche bestätigen oder entziehen Rechte, und das Ergebnis bleibt als Nachweis erhalten.
Konzepte zu Personalsicherheit und Berechtigungen laden Sie in das Nachweis-Register und verknüpfen sie mit den Controls. Wiederkehrende Zugriffsüberprüfungen planen Sie als Aufgaben, und Änderungen am Berechtigungskonzept laufen über Freigaben mit Vier-Augen-Prinzip, deren Verlauf nachvollziehbar bleibt.
Controls im Katalog „NIS2 Deutschland“
- DE-REQ-13Personal, Zugriffe und Anlagen absichern
- DE-CTL-07Assets und Abhängigkeiten inventarisieren
- DE-CTL-22Eintritt, Wechsel und Austritt absichern
- DE-CTL-23Zugriffsrechte und privilegierte Konten kontrollieren
Verwandte Maßnahmen.
- Maßnahme 10: MFA und Kommunikation
Zugriffskontrolle legt fest, wer worauf zugreifen darf; Multi-Faktor-Authentifizierung stellt sicher, dass es tatsächlich diese Person ist.
- Maßnahme 1: Risikoanalyse
Das Inventar mit Schutzbedarf ist die gemeinsame Grundlage für die Risikoanalyse und das Anlagenmanagement.
- Maßnahme 7: Cyberhygiene und Schulung
Einarbeitung und Verpflichtung neuer Mitarbeitender gehen in die Sensibilisierung über, die das Gesetz als eigene Maßnahme nennt.
- Alle zehn Maßnahmen im Überblick
Quellen.
- § 30 BSIG: Risikomanagementmaßnahmen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Art. 21 und 23
- Durchführungsverordnung (EU) 2024/2690 für digitale Dienste
- BSI: #nis2know-Infopaket Personalsicherheit, Zugriffskontrolle, Assetmanagement
- BSI: #nis2know-Infopaket ISO/IEC 27001 im Kontext NIS-2/BSIG
- BSI: #nis2know-Infopaket Dokumentationspflicht
Häufige Fragen.
Die Richtlinie spricht von Management von Anlagen, das BSIG von der Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Das BSI versteht darunter Asset-Management: die vollständige Erfassung von Hardware, Software, Daten und Cloud-Diensten, ihre Einstufung nach Schutzbedarf, klare Verantwortliche über den Lebenszyklus und eine regelmäßige Aktualisierung bis zur sicheren Entsorgung.
Das BSIG nennt keinen festen Turnus. Das BSI empfiehlt, Benutzerkennungen, Gruppen und Rechteprofile regelmäßig auf Aktualität und Notwendigkeit zu überprüfen und nicht mehr benötigte Rechte bei personellen Veränderungen unverzüglich zu entziehen. Legen Sie den Turnus risikobasiert fest, für privilegierte Konten in kürzeren Abständen.
Das BSIG schreibt keine bestimmte Überprüfung vor. Das BSI hält eine Prüfung der Vertrauenswürdigkeit neuer Mitarbeitender, etwa eine Plausibilitätsprüfung des Lebenslaufs, für ratsam und bei erhöhtem Schutzbedarf eine zusätzliche Sicherheitsüberprüfung. Arbeits- und Datenschutzrecht setzen dabei Grenzen, die Sie mit Personalabteilung und Datenschutz abstimmen sollten.
Das Gesetz schreibt kein Werkzeug vor. Entscheidend ist, dass das Inventar vollständig und aktuell ist, Schutzbedarf und Verantwortliche ausweist und Änderungen zeitnah erfasst werden. Mit wachsender Zahl an Systemen und Cloud-Diensten wird das in einer Tabelle schwer nachzuweisen, weil Änderungen und Verantwortliche nicht nachvollziehbar sind.
Noch nicht sicher, ob NIS2 für Sie gilt?
Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.
Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.