[Werbung] Passwork NIS-2-Effizienzleitfaden

In der zweiten Jahreshälfte 2026 prüfen die nationalen Aufsichtsbehörden in der gesamten EU aktiv die NIS-2-Compliance-Dokumentation. Gemäß Artikel 20 Absatz 1 der Richtlinie können Geschäftsleitungen wesentlicher und wichtiger Einrichtungen bei Verstößen persönlich haftbar gemacht werden — ein Detail, das die Aufmerksamkeit der Führungsebene erfahrungsgemäß konzentriert.

Der ENISA-Bericht NIS Investments 2025 stellt fest, dass 34 % der EU-Organisationen einen erheblichen Fachkräftemangel speziell bei der Umsetzung von Identity and Access Management (IAM) melden. Sie müssen compliant werden, ohne das Team zu verschleißen, das Sie bereits haben.

Dieser Leitfaden zeigt, wie Sie Passwork auf die Anforderungen des NIS-2-Artikels 21 abbilden, wo die operativen Einsparungen entstehen und wie Sie Audit-Nachweise erzeugen – ohne drei Tage lang Ereignisprotokolle zu durchforsten.

Das NIS-2-Paradox: Mehr Sicherheit bedeutet meist mehr IT-Aufwand

NIS-2-Artikel 21 schreibt Zugriffskontrollrichtlinien, Multi-Faktor-Authentisierung (MFA) und grundlegende Cyber-Hygiene für Ihre gesamte Organisation vor. Jedes Mal, wenn Sie Passwortrichtlinien verschärfen – längere Mindestlängen, kürzere Ablauffristen, kein Wiederverwenden – wächst die Helpdesk-Warteschlange. Passwort-Resets machen laut einer von Specops zitierten Studie bereits bis zu 30 % aller Helpdesk-Anfragen aus.

Die Organisationen, die dieses Problem lösen, sind nicht die mit den größten Sicherheitsbudgets. Es sind die, die von Anfang an auf Werkzeuge setzen, die diese Reibungsverluste reduzieren.

Wie Passwork die Konformität nach Artikel 21 beschleunigt

DNIS-2-Artikel 21 legt zehn Mindestmaßnahmen zum Cybersicherheitsrisikomanagement fest. Drei davon fallen direkt in den Aufgabenbereich eines Passwort- und Secrets-Managers: Zugriffskontrollrichtlinien, MFA und Credential-Hygiene. Diese drei Anforderungen zu erfüllen erfordert kein mehrjähriges IAM-Projekt – aber es braucht ein System, das Richtlinien durchsetzt und dokumentiert, nicht nur ein Papierdokument, das sie beschreibt.

MFA direkt ab Werk

NIS-2-Artikel 21 Absatz 2 Buchstabe j schreibt MFA oder kontinuierliche Authentisierung vor, wo technisch machbar. Passwork unterstützt nativ TOTP, Biometrie, Passkeys und Sicherheitsschlüssel wie YubiKey – keine Drittintegration erforderlich, um diese Anforderung für den Vault-Zugriff zu erfüllen.

Für Organisationen, die bereits eine SSO-Schicht betreiben, bedeutet die SAML-SSO-Integration von Passwork: Die MFA-Durchsetzung erfolgt auf Ebene des Identity Providers, und Passwork erbt sie. Sie fügen kein weiteres Authentisierungs-Silo hinzu, sondern erweitern das, das Sie bereits verwalten.

Zero-Knowledge-Architektur und Datensouveränität in der EU

Passwork verwendet AES-256-Verschlüsselung mit einer Zero-Knowledge-Architektur auf Client-Seite: Der Server sieht niemals Zugangsdaten im Klartext. Für NIS-2-Prüfer ist das relevant, weil Artikel 21 Absatz 2 Buchstabe h die Verschlüsselung von Daten in Übertragung und Speicherung vorschreibt. Beim Self-Hosted-Betrieb von Passwork verbleiben alle Daten in Ihrer eigenen Infrastruktur – keine Abhängigkeit von einem Drittanbieter außerhalb der EU-Jurisdiktion.

DSGVO-Artikel 32 und NIS-2-Artikel 21 verlangen beide „geeignete technische Maßnahmen" zum Datenschutz. Nachzuweisen, dass Zugangsdaten Ihre eigenen Server nie verlassen, ist eine saubere, prüferfreundliche Antwort auf beide Anforderungen zugleich.

Was ist die Mindestanforderung an das Credential-Management für ein NIS-2-Audit?

Die Mindestanforderungen an das Credential-Management für ein NIS-2-Audit umfassen vier Kontrollen nach Artikel 21: eine dokumentierte Zugriffskontrollrichtlinie, MFA für alle privilegierten und Remote-Zugriffe, Verschlüsselung von Zugangsdaten in Speicherung und Übertragung sowie ein Zugriffsprotokoll, das zeigt, wer wann auf was zugegriffen hat – und wann der Zugriff entzogen wurde. Prüfer verlangen Nachweise für alle vier Punkte, nicht nur Richtliniendokumente.

Die drei Kontrollen, die ein Passwort-Manager direkt abdeckt (Zugriffsrichtlinie, MFA, Credential-Hygiene), sind konkreten Klauseln des Artikels 21 zugeordnet. Verschlüsselung und Audit-Protokollierung ergänzen die vier. Zusammen decken sie die operativen Nachweise ab, die nationale Aufsichtsbehörden in den Audit-Zyklen 2026 einfordern.

Kontrolle

Die Lücke, die die meisten Organisationen zu spät entdecken: Sie haben die Richtlinie, sie haben MFA auf ihrer SSO-Schicht – aber kein Protokoll darüber, wer auf gemeinsam genutzte Zugangsdaten zugegriffen hat. Das Datenbankpasswort, der API-Schlüssel, das Service-Konto. Diese sind nicht durch SSO abgedeckt. Genau hier schließt ein Credential-Vault die Audit-Lücke, die IAM allein nicht schließt.

Sehen Sie, wie Passwork die vier NIS-2-Kontrollen in der Praxis abdeckt.

Der verborgene ROI: Stunden sparen und dabei compliant bleiben

Compliance ist die Untergrenze, nicht die Obergrenze. Die Organisationen, die den größten Nutzen aus der NIS-2-Vorbereitung ziehen, nutzen sie als Gelegenheit, operative Ineffizienzen zu beheben, die sie seit Jahren toleriert haben.

AD/LDAP-Integration: Realistischer Implementierungszeitplan

Ein typisches IAM-Implementierungsprojekt dauert 12 bis 18 Monate. Die AD/LDAP-Integration von Passwork funktioniert anders: Sie verbinden es mit Ihrem bestehenden Verzeichnisdienst, und die Benutzerbereitstellung erfolgt automatisch. Die Grundinstallation und AD/LDAP-Anbindung dauert unter einer Stunde. Vault-Struktur, Rollenkonfiguration und Team-Onboarding laufen je nach Organisationsgröße in ein bis zwei Wochen. Das ist die realistische Antwort auf die Frage: „Wie lange dauert NIS-2-konforme Credential-Verwaltung?"

Wenn ein neuer Entwickler dem DevOps-Team beitritt, erbt er den Vault-Zugriff des Teams über seine Active-Directory-Gruppenmitgliedschaft. Wenn jemand das Unternehmen verlässt, deaktivieren Sie das AD-Konto – der Passwork-Zugriff wird im selben Schritt entzogen, und das Ereignis wird automatisch protokolliert: mit Zeitstempel, verknüpft mit dem Benutzerdatensatz. Das Security-Dashboard zeigt alle Secrets, auf die der offgeboordete Mitarbeiter Zugriff hatte, und gewährleistet so vollständige Transparenz. Kein manuelles Offboarding-Checklisten-Abarbeiten, und ein sauberer Abgangspfad für Prüfer.

Für NIS-2-Artikel 21 Absatz 2 Buchstabe i ist das eine direkt dokumentierbare Kontrolle. Sie können einem Prüfer genau zeigen, wie Zugriff gewährt, eingegrenzt und entzogen wird – mit klarer Verbindung zu Ihrer Verzeichnisstruktur.

Anwender entlasten: Passwort-Reset-Tickets reduzieren

Wenn Anwender einen ordentlichen Vault haben, verlieren sie keine Zugangsdaten mehr. Statt ein Passwort im Browser, auf einem Haftzettel oder in einer Slack-Nachricht zu speichern, legt der Anwender es einmal im Vault ab. Beim nächsten Bedarf öffnet er den Vault. Kein Reset-Ticket.

Das wirkt sich am stärksten bei gemeinsam genutzten Konten aus. Das Passwort der gemeinsamen Staging-Umgebung, der Social-Media-Login, das Legacy-System ohne SSO-Unterstützung – genau diese Zugangsdaten erzeugen wiederkehrende Reset-Tickets, weil kein einzelner Mitarbeiter sie „besitzt". Ein Vault gibt gemeinsam genutzten Zugangsdaten eine dauerhafte, zugängliche Heimat mit klarem Zugriffsprotokoll.

Die Rechnung ist einfach. Bei rund 70 € pro Ticket an Produktivitätsverlust und Personalaufwand (Specops) gibt eine Organisation, die monatlich 200 passwortbezogene Helpdesk-Tickets bearbeitet, 14.000 € monatlich für diesen Overhead aus. Eine Halbierung – eine konservative Schätzung für Organisationen, die von ad-hoc-Credential-Speicherung zu einem verwalteten Vault wechseln – spart 84.000 € jährlich.

Audit-Nachweise auf Abruf erzeugen

Zu wissen, dass man compliant ist, und es einem Prüfer nachweisen zu können, sind zwei verschiedene Probleme. Die meisten Organisationen stellen diese Lücke fest, wenn sie bereits mitten im Audit-Fenster sind und hektisch Zugriffshistorien aus Windows-Ereignisprotokollen und E-Mail-Verläufen rekonstruieren.

Passwork protokolliert jede Credential-Aktion: Wer hat auf welchen Vault zugegriffen, wann, von welcher IP-Adresse, welche Änderungen wurden vorgenommen. Diese Protokolle sind exportierbar und mit Zeitstempel versehen. Wenn ein Prüfer fragt: „Zeigen Sie mir, wer in den letzten 90 Tagen Zugriff auf Ihre Produktionsdatenbank-Zugangsdaten hatte" – ziehen Sie den Bericht in Minuten.

Der ECSO NIS2 Transposition Tracker bestätigt, dass nationale Aufsichtsbehörden gezielt nach dokumentierten Nachweisen der Zugriffskontroll-Implementierung suchen – nicht nur nach Richtliniendokumenten. Für Organisationen, die bisher Tabellenkalkulationen oder gemeinsam genutzte Postfächer für die Credential-Verwaltung verwendet haben, ist das die größte Audit-Bereitschaftslücke.

Die Bußgeldstruktur nach NIS-2-Artikel 34 macht das konkret: Wesentliche Einrichtungen riskieren Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes; wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % – jeweils der höhere Betrag. Das Audit-Protokoll ist kein bürokratischer Overhead. Es ist Ihre primäre Verteidigungslinie.

Einen tieferen Einblick in die Zuordnung von NIS-2 zu spezifischen Passwort- und Credential-Anforderungen finden Sie im Passwork-Blogbeitrag zu NIS-2-Passwortanforderungen für 2026.

Beginnen Sie mit der Lücke, die IAM allein nicht schließt

Organisationen, die NIS-2 als reines Compliance-Übung behandeln, investieren am meisten Zeit und holen am wenigsten heraus. Die, die den Stichtag nutzen, um die tatsächliche Credential-Verwaltung zu verbessern, kommen mit einer schlankeren Helpdesk-Warteschlange, einer kleineren Angriffsfläche und Audit-Nachweisen heraus, die sie auf Abruf vorlegen können.

Die Credential-Lücke – gemeinsam genutzte Konten, Service-Zugangsdaten, API-Schlüssel außerhalb Ihres SSO-Perimeters – ist der Bereich, in dem die meisten Organisationen derzeit exponiert sind. Sie zu schließen dauert ein bis zwei Wochen, nicht 12 Monate.

Passwork ist ISO-27001-zertifiziert, DSGVO- und NIS-2-konform by Design und wird Self-Hosted in Ihrer eigenen Infrastruktur betrieben. Das Audit-Fenster ist offen. Der Implementierungsaufwand hält sich in Grenzen.

Passwork ist als Self-Hosted-Lösung verfügbar – mit vollständiger Datenkontrolle und einem Deployment-Pfad, der zum NIS-2-Zeitplan passt.

Dieser Beitrag ist eine Werbeanzeige und stammt von einem Content-Partner. Die Anzeige wurde nicht vom heise Software-Team oder einer anderen heise-Redaktion verfasst oder nachbearbeitet und spiegelt möglicherweise nicht deren Meinung wider.

Aufmachergrafik enthält KI-generierte Elemente von Google Gemini.