Zugriffskontrolle bedeutet, dass Sie festlegen, wer auf welche Systeme zugreifen darf, mit welchem Benutzerkonto, und dass dieser Zugriff entzogen wird, sobald jemand die Funktion wechselt oder das Unternehmen verlässt. In der Metall- und Fertigungsindustrie geht es nicht nur um Laptops und E-Mail, sondern auch um Maschinen, speicherprogrammierbare Steuerungen und Produktionslinien, die inzwischen an dasselbe Netzwerk angebunden sind wie die Büroautomation. Gerade dieser Berührungspunkt zwischen IT und Produktion ist es, auf den Cybersicherheits-Fragelisten häufig abzielen.
Die Frage kehrt in fast jedem Fragebogen wieder, weil Zugriffskontrolle eine der zehn Maßnahmen ist, die die Sorgfaltspflicht aus der NIS2-Richtlinie (Artikel 21) von verpflichteten Organisationen erwartet, und diese verpflichteten Organisationen geben diese Anforderung über ihren Vertrag an ihre Lieferanten weiter. Ein Maschinenhersteller oder Zulieferer, der selbst nicht unter NIS2 fällt, erhält die Frage also trotzdem, weil ein Kunde sie beantworten können muss.
Der Unterschied zwischen Büro und Produktionshalle
Im Büro ist Zugriffskontrolle meist umgesetzt: ein Benutzerkonto pro Mitarbeiter, ein Passwort, möglicherweise schon eine zweite Authentifizierungsmethode beim Anmelden. In der Produktionshalle sieht das oft anders aus. Maschinen laufen manchmal schon seit Jahren mit einem gemeinsamen Benutzerkonto, einem technischen Passwort, das jeder kennt, oder einer Einstellung des Lieferanten, die nie geändert wurde. Das ist nicht mangelnder Wille, sondern das Ergebnis der Praxis von Wartung und Fehlerbehebung. Aufsichtsbehörden und Abnehmer schauen dabei nicht auf die Geschichte, sondern auf die aktuelle Situation: gibt es einen Überblick darüber, wer auf was zugreifen kann, und ist dieser Überblick aktuell.
Wer hat Zugriff, und worauf genau
Ein nutzbarer Überblick beantwortet drei Fragen pro System: wer hat ein Benutzerkonto, was darf diese Person damit tun, und ist das noch immer erforderlich. Für Produktionssysteme bedeutet das unter anderem eine Unterscheidung zwischen Ansicht (Status auslesen), Bedienung (eine Linie starten oder stoppen) und Programmierung (Einstellungen oder Steuerungssoftware ändern). Nicht jeder, der eine Maschine bedient, muss die Einstellungen ändern können, und nicht jeder, der für ein Projekt einmal Zugriff erhielt, benötigt diesen Zugriff noch.
Externe Techniker und Lieferanten mit Fernzugriff
Viele Produktionssysteme werden remote vom Maschinenhersteller gewartet. Das ist funktional, aber es ist auch ein Zugriffspfad, der dokumentiert werden sollte: wer vom Lieferanten kann sich anmelden, über welche Verbindung, und ist diese Verbindung nur während der Wartung oder permanent offen. Abnehmer fragen hier oft ausdrücklich nach, weil eine offene Verbindung zu einer dritten Partei einer der bekannteren Wege ist, auf denen ein Incident bei dem einen zu einem anderen durchschlagen kann. Die Bewertung dieser Lieferanten ist übrigens ein separater Schritt in der Sorgfaltspflicht, unabhängig von der Zugriffskontrolle selbst.
Passwörter und gemeinsame Benutzerkonten
Gemeinsame Benutzerkonten sind praktisch, aber sie machen es unmöglich, im Nachhinein zu sehen, wer etwas getan hat. Wo es möglich ist, ist ein Benutzerkonto pro Person der Schritt, den Fragelisten als Ausgangspunkt nehmen. Wo das bei älteren Maschinen technisch nicht möglich ist, besteht die Antwort oft darin, dass andere Maßnahmen umgesetzt sind, wie eine begrenzte Anzahl von Personen mit physischem Zugriff auf das Bedienfeld. Ein Fragebogen fordert selten Perfektion, aber eine begründete Antwort.
Was Sie dokumentieren, nicht nur was Sie regeln
Der Unterschied zwischen "es ist geregelt" und "es ist nachweisbar" liegt in der Dokumentation: eine aktuelle Liste von Benutzerkonten und Berechtigungen, ein Zeitpunkt, zu dem diese Liste überprüft wurde, und ein Name, der verantwortlich für ihre Aktualisierung ist. Das ist genau dort, wo ein lebendes Register seinen Wert beweist, weil es pro Maßnahme einen Status, ein Beweisdokument und einen Verantwortlichen anzeigt, statt eines einzelnen Word-Dokuments, das niemand mehr aktualisiert.
Wo das in den größeren Zusammenhang passt
Die Zugriffskontrolle steht selten für sich allein in einer Frageliste. Sie wird normalerweise mit Fragen zu Sicherungskopien, zur mehrstufigen Authentifizierung und dazu kombiniert, was geschieht, wenn ein Vorfall eintritt. Wer noch nicht weiß, ob das eigene Unternehmen über einen Kunden mit NIS2 konfrontiert wird, beginnt üblicherweise bei dem Sektor und der Rolle in der Lieferkette, nicht bei den einzelnen Maßnahmen.
Mit einer handvoll Fragen, die zeigen, wo Ihr Unternehmen steht erhalten Sie einen ersten Hinweis, und in die Wissensdatenbank pro Thema finden Sie die anderen Maßnahmen, die in denselben Fragelisten wiederkehren. Wie wir Quellen wie die Richtlinie und die nationale Gesetzgebung nachverfolgen, lesen Sie auf der Seite über unser Vorgehen. Sind Sie sich unsicher, welche Frage genau zu Ihrer Situation passt, schauen Sie auch unter häufig gestellte Fragen.
Die NIS2-Überprüfung und die Wissensdatenbank können kostenlos ohne Konto eingesehen werden. Wenn Sie weitergehen möchten, zum Beispiel eine Übersicht pro Maßnahme mit Status und Verantwortlichem führen, gehört das zum Dossier hinter einem geschäftlichen Abonnement.