Kostenlose Vorlage · ISO 27001 / NIS2

Zugriffs- und Berechtigungskonzept: Vorlage (ISO 27001 / NIS2)

Zu weit gefasste Zugriffsrechte sind einer der häufigsten Audit-Befunde. Diese kostenlose Vorlage strukturiert Ihr Zugriffs- und Berechtigungskonzept nach Least Privilege, mit Rollenmodell, Vergabe-/Entzugsprozess und regelmäßiger Rezertifizierung.

ISO 27001 / NIS2Word (.docx)Kostenlos

Kostenlos herunterladenWord (.docx) · sofort einsatzbereit · keine Anmeldung nötig

Worum geht es?

Ein Berechtigungskonzept regelt, wer auf welche Systeme und Daten zugreifen darf und wie Rechte vergeben, geändert und entzogen werden. Es setzt mehrere ISO-27001-Controls (A.5.15 bis A.8.3) um und gehört zur NIS2-Pflicht Zugriffskontrolle.

Grundprinzipien sind Need-to-know und Least Privilege: Jeder erhält nur die Rechte, die er für seine Aufgabe braucht. Berechtigungen werden über Rollen vergeben statt personenbezogen zusammengesammelt.

Enthalten sind Grundsätze inklusive Funktionstrennung, ein Rollen- und Rechtemodell, der Ablauf von Vergabe, Änderung und Entzug, strengere Regeln für privilegierte Zugriffe sowie die regelmäßige Rezertifizierung.

Was die Vorlage enthält

Zweck & GeltungsbereichWelche Systeme, Daten und Konten das Konzept umfasst

GrundsätzeNeed-to-know, Least Privilege, Funktionstrennung, Nachvollziehbarkeit

Rollen- & RechtemodellRechtevergabe über Rollen statt personenbezogen

Vergabe, Änderung, EntzugAntrag, Freigabe, Rollenwechsel und Offboarding

Privilegierte ZugriffeGetrennte Admin-Identität, MFA und Protokollierung

RezertifizierungRegelmäßige Überprüfung durch System-Owner

Die Vorlage eignet sich für ISB und IT-Leitung, die Zugriffsrechte nachvollziehbar steuern müssen. Ergänzen Sie Ihr Rollenmodell und legen Sie die Intervalle für die Rezertifizierung fest.

Häufige Fehler beim Ausfüllen

Rechte-Anhäufung über die ZeitBei Rollenwechseln werden neue Rechte vergeben, alte aber nicht entzogen. So sammeln Mitarbeiter über Jahre zu viele Berechtigungen an.

Keine RezertifizierungOhne regelmäßige Überprüfung bleiben veraltete und überflüssige Rechte bestehen, ein klassischer Audit-Befund.

Zugänge beim Austritt nicht entzogenAusgeschiedene Mitarbeiter oder Externe behalten Zugriff. Der Entzug muss unverzüglich und nachweisbar erfolgen.

In CompliantDesk

Vorlage pflegen kostet Zeit. In CompliantDesk wird sie Teil eines gepflegten Systems.

Dies ist eine gekürzte Muster-Fassung. In CompliantDesk verwalten Sie Rollen, Zugriffsrechte je Asset und die Rezertifizierung verknüpft und mit Erinnerungen, inklusive Versionierung, SHA-256-Nachweis der Fassung und dokumentierter Mitarbeiter-Bestätigung.

Häufig gestellte Fragen

Was bedeutet Least Privilege?

Das Prinzip der minimalen Rechte: Jede Person und jedes Konto erhält nur die Zugriffsrechte, die für die konkrete Aufgabe zwingend notwendig sind, nicht mehr.

Wie oft muss ich Berechtigungen überprüfen?

Mindestens jährlich, privilegierte Zugriffe häufiger. Bei der Rezertifizierung bestätigen die System-Owner, dass die Rechte noch erforderlich sind.

Rollenbasiert oder personenbezogen vergeben?

Rollenbasiert. Rechte werden über definierte Rollen vergeben, die die für eine Funktion notwendigen Berechtigungen bündeln. Das ist übersichtlicher und leichter zu prüfen.

Weiterführend

Lexikon: Least Privilege Lexikon: MFA Passwort-Richtlinie-Vorlage ISO 27001: A.5.15 Zugangssteuerung

In CompliantDesk

Compliance ohne Excel-Chaos

CompliantDesk führt VVT, Risiken, Richtlinien und Nachweise in einem System, mit gemeinsamem Kern-Modell für ISO 27001, NIS2 und DSGVO. Sehen Sie es in einer kurzen Demo.

Demo buchen Vorlage herunterladen

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten