Wird mehrstufige Authentifizierung für den Zugriff auf Unternehmenssysteme verwendet?

MFA ist die explizite zehnte Maßnahme des Artikel 21 Absatz 2

Ja, diese Frage bezieht sich auf einen wörtlich genannten Bestandteil der NIS2-Liste: Artikel 21 Absatz 2 Buchstabe j nennt "die Verwendung von Lösungen für die mehrstufige Authentifizierung oder kontinuierliche Authentifizierung" namentlich. Das macht diese Frage anders als die meisten anderen auf einer solchen Liste – es gibt keinen Interpretationsspielraum darüber, was gemeint ist, sondern nur über die Frage, ob es implementiert ist und wo.

Die Praxis liegt in der Abdeckung, nicht im Prinzip. Ein Kunde, der fragt, ob MFA verwendet wird, meint normalerweise: gilt dies für alle Zugriffe auf Unternehmenssysteme oder nur für einen Teil? MFA im VPN, aber nicht in Cloud-Anwendungen, oder zwar bei Administratorkonten, aber nicht bei regulären Benutzern, ist eine andere Antwort als ein einfaches Ja. Dieser Bestandteil hängt daher eng zusammen mit der dokumentierten Zugangsrichtlinie und der Verwaltung von Unternehmensvermögen: ohne einen Überblick darüber, welche Systeme es gibt und wer darauf Zugriff hat, ist "wird MFA verwendet" keine Ja-oder-Nein-Frage, sondern eine Frage mit einem Prozentsatz darin. Wer die Antwort nur für den eigenen Laptop kennt und nicht für die Serverumgebung, beantwortet faktisch nur eine Teilmenge.

Wo dies in der Richtlinie vorgesehen ist: Artikel 21 Absatz 2 Buchstabe j

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 führt zehn Maßnahmen auf, die Einrichtungen im Rahmen ihres Risikomanagements ergreifen müssen; Buchstabe j nennt Multifaktor-Authentifizierung oder kontinuierliche Authentifizierung ausdrücklich, neben verschlüsselter Kommunikation und gesicherter Notfallkommunikation. Diese Maßnahme steht nicht isoliert: Absatz 1 desselben Artikels verlangt, dass das Ganze dem Risiko, dem Umfang und der Wahrscheinlichkeit von Vorfällen angemessen ist, was Raum für eine schrittweise Einführung lässt, sofern dies politisch dokumentiert ist. Ob MFA für das erfüllende Unternehmen selbst verpflichtend ist, hängt davon ab, ob das Unternehmen unter die Richtlinie als Einrichtung fällt — ein Lieferant, der selbst nicht unter NIS2 fällt, erhält diese Frage nur, weil sein Kunde dies tut und die Lieferkette abfragen muss.