Seit dem 15. August 2026 gilt in den Niederlanden das Cyberbeveiligingswet (das niederländische Cybersicherheitsgesetz, kurz Cbw), die niederländische Umsetzung der europäischen NIS2-Richtlinie. Das Gesetz legt die Verantwortung für Cyberrisiken bei der Geschäftsleitung. Das wirft eine praktische Frage auf: Halten Zugriffsmanagement und MFA auch stand, wenn jemand den Servicedesk anruft?
Was ist das Cybersicherheitsgesetz?
Das Cbw gilt für Organisationen, die wesentliche oder wichtige Dienste erbringen, in 18 Sektoren. Dazu gehören Energie, Trinkwasser, digitale Infrastruktur, Gesundheitswesen, öffentliche Verwaltung und Verkehr. Laut Security Management betrifft das gut 8000 Organisationen. Organisationen müssen selbst beurteilen, ob sie darunter fallen.
Das Gesetz kennt drei Pflichten:
- Sorgfaltspflicht. Maßnahmen ergreifen, um die Risiken für die Sicherheit von Netz- und Informationssystemen zu beherrschen.
- Meldepflicht. Erhebliche Sicherheitsvorfälle innerhalb der gesetzlichen Fristen melden.
- Registrierungspflicht. Sich beim NCSC registrieren.
Was verlangt das Gesetz von der Geschäftsleitung?
Die Geschäftsleitung trägt die Gesamtverantwortung für das Management von Cyberrisiken. Mitglieder der Geschäftsleitung müssen über ausreichende Kenntnisse verfügen, um Risiken und Sicherheitsmaßnahmen zu beurteilen, und dafür eine geeignete Schulung absolvieren. Cybersicherheit ist damit nicht nur ein Thema für die IT, sondern auch für die Führungsetage.
Zugriffsmanagement und MFA in NIS2
NIS2 Artikel 21 nennt die Maßnahmen, die Organisationen ergreifen müssen. Dazu gehören Konzepte für die Zugriffskontrolle (Absatz 2 Buchstabe i) und die Verwendung von Multi-Faktor-Authentifizierung (Absatz 2 Buchstabe j).
Eine bestimmte Methode, um Anrufer am Servicedesk zu verifizieren, nennt die Richtlinie nicht.
Wo der Servicedesk ins Spiel kommt
Zugriffsmanagement und MFA schützen die Anmeldung. Sie müssen aber auch wiederhergestellt werden können, zum Beispiel nach einem vergessenen Passwort oder bei einem neuen Telefon. Diese Wiederherstellung kann über den Servicedesk laufen. Wer den Servicedesk ein Zurücksetzen durchführen lässt, umgeht diese Maßnahmen.
Dass das in der Praxis passiert, beschreiben CISA und FBI in ihrer Warnung zu Scattered Spider. Damit ist das Zurücksetzen über den Servicedesk ein naheliegender Punkt, um zu prüfen, ob Ihre Maßnahmen für Zugriffsmanagement und MFA in der Praxis standhalten.
Was können Sie tun?
- Testen Sie, ob Ihr Servicedesk standhält. Ein Account-Takeover-Assessment zeigt, ob Ihr Servicedesk einen Account an jemanden freigibt, der anruft. Immer innerhalb unterzeichneter Autorisierung.
- Prüfen Sie, wo der Prozess Spielraum lässt. Eine Prozessanalyse zeigt, wo Richtlinie und Praxis auseinanderlaufen.
- Wählen Sie technische Verifizierung. Technische Maßnahmen ersetzen das Urteil eines einzelnen Mitarbeiters durch eine Kontrolle, die der Anrufer selbst bestehen muss.
- Beziehen Sie die Geschäftsleitung ein. Der Bericht und die Abschlusspräsentation geben der Geschäftsleitung ein konkretes Bild des Risikos.
