sie fragen, ob unsere Mitarbeiter sich mit einem Login überall anmelden

SSO ist eine Authentifizierungsmaßnahme, keine separate NIS2-Anforderung

Single Sign-On (SSO) ist keine separate Aufstellung in Artikel 21 Absatz 2 der NIS2-Richtlinie. Die Frage gehört unter Zugriffsrichtlinie: wie regeln Sie, wer auf welches System zugreifen darf, und wie kontrollieren Sie das. SSO ist dabei ein Mittel, kein Zweck — die Antwort, die Sie eintragen, sollte also darüber gehen, was SSO in Ihrer Umgebung löst, nicht über das Tool selbst.

Wichtig vor dem Eintrag von "ja": Verwendet der Fragebogen "SSO" als Synonym für zentralisierte Identitätsverwaltung (ein IdP, beispielsweise Azure AD oder Okta, für die meisten Unternehmensanwendungen), oder fragt er tatsächlich nach etwas anderem, das zufällig so formuliert ist? Viele Formate stellen diese Frage als Einstieg zur Anschlussfrage über Mehrfachauthentifizierung — wenn Sie "ja" zu SSO sagen, aber keine Mehrfachauthentifizierung auf dem IdP aktiviert haben, ist das aus Auditor-Sicht eine unvollständige Maßnahme. Prüfen Sie das zusammen mit der Frage zur Multifaktor-Authentifizierung bevor Sie die Antwort bestätigen. Haben Sie SSO nur auf einem Teil der Systeme — beispielsweise bei SaaS-Anwendungen, nicht bei der lokalen Legacy-Umgebung — ist eine differenzierte Antwort mit Erläuterung genauer als ein bloßes "ja".

Zugriffsrichtlinie und Annex A geben den genauen Ort der Vorschrift an

Die Begründung läuft über zwei Stränge. In der NIS2-Richtlinie fällt Authentifizierung unter die Maßnahmen von Artikel 21 Absatz 2, insbesondere unter Punkt (i), zu Zugriffskontrolle und der Verwaltung von Vermögenswerten — dort ist die umfassendere Zugriffsrichtlinie der Anknüpfungspunkt in Ihrem Kettenordner. Wer mit ISO/IEC 27001 arbeitet, findet SSO als Umsetzung der Beherrschungsmaßnahmen in Annex A zum Identitätsmanagement und zur Authentifizierung wieder (A.5.15 bis A.5.18 in der Fassung von 2022). Haben Sie kein Zertifikat, ist das an sich kein Problem für diese Antwort — die Frage nach SSO steht unabhängig von der Frage, ob Sie zertifiziert sind. Das niederländische Cybersicherheitsgesetz, das NIS2 umsetzt, fügt an dieser Stelle keine separate SSO-Anforderung hinzu; es verweist bei der Umsetzung auf die gleichen zehn Maßnahmen aus Artikel 21 Absatz 2.