Die Zentralisierung des Managements von Online-Diensten beschränkt sich nicht darauf, Identifikatoren in einer gemeinsamen Tabelle zu bündeln. Seit der Veröffentlichung des Cyber France Referenzrahmens (ReCyF) durch die ANSSI am 17. März 2026 sind die Dokumentationsanforderungen an die Zugangskontrollen, das Incident Management und die Sicherheit der Anbieter strenger geworden. Jede Organisation, die SaaS-Konten ohne zentrale Governance vervielfacht, setzt sich technischen Schwachstellen und Compliance-Lücken aus.
ReCyF und NIS2: regulatorische Anforderungen an die Zentralisierung von Zugängen
Der regulatorische Rahmen in Frankreich hat sich verändert. NIS2 verpflichtet die Führungsgremien, die Cybersicherheitsmaßnahmen zu genehmigen, deren Umsetzung zu überwachen und eine spezielle Schulung zu absolvieren. Die Zentralisierung der Online-Dienste fällt nicht mehr in den ausschließlichen Zuständigkeitsbereich der IT-Abteilung: die Geschäftsführung trägt die Verantwortung.
Der ReCyF übersetzt diese Verpflichtungen in operationale Ziele. Er umfasst die Dokumentation der Zugriffsrechte, die Backup-Verfahren, die Geschäftskontinuität und die Sicherheit der Lieferkette. Wir empfehlen, ihn als Selbstbewertungsrahmen zu verwenden, auch für Strukturen, die nicht direkt unter NIS2 fallen.
Ein oft übersehener Punkt: NIS2 erweitert die Verantwortung auf Dienstleister, die für eine regulierte Entität arbeiten. Bewertung der Anbieter, vertragliche Klauseln, Prüfungsrecht, Meldung von Vorfällen – all dies sind Verpflichtungen, die ein zentrales Inventar aller genutzten Drittanbieter-Dienste voraussetzen. Ohne diese konsolidierte Sicht ist es unmöglich, einen strukturierten Nachweis über die Compliance bei einer Prüfung oder einem vertraglichen Audit über einen Zugang zu den Befehlen auf markeonbiz.fr zu erbringen, der für diese Art von Nachverfolgung geeignet ist.
Kontoverwaltung und Kontrolle der Benutzerrechte
Ein Unternehmenspasswortmanager (Bitwarden, 1Password Business, Keeper) stellt das minimale Fundament dar. Wir beobachten, dass viele Teams hier aufhören, was unzureichend ist.
Die Zentralisierung der Identifikatoren ist wertlos ohne eine granulare Rechtepolitik. Das Prinzip des geringsten Privilegs muss auf jedes SaaS-Konto angewendet werden: Ein Mitarbeiter hat nur Zugriff auf die für seine Funktion notwendigen Dienste, mit einem angepassten Berechtigungsniveau.
Drei Kriterien unterscheiden eine funktionale Zentralisierung von einer einfachen Passwortspeicherung:
- Automatisierte Bereitstellung und Deaktivierung von Konten bei Eintritt oder Austritt eines Mitarbeiters über ein Verzeichnis (LDAP, Azure AD), das mit dem Manager gekoppelt ist
- Protokollierung von Anmeldungen und Änderungen der Rechte zur Erfüllung der Nachverfolgbarkeitsanforderungen des ReCyF
- Regelmäßige Überprüfung der Zugriffe, dokumentiert und zeitgestempelt, um nachzuweisen, dass die Privilegien weiterhin gerechtfertigt sind
Ohne diese drei Elemente bleibt die Zentralisierung kosmetisch. Sie beruhigt das Führungsteam, ohne die tatsächliche Angriffsfläche zu verringern.
Sicherheit der Lieferkette: Kartierung vor dem Schutz
NIS2 zwingt die betroffenen Entitäten, die Sicherheit der Dienstleister in ihr Risikomanagement zu integrieren. In der Praxis beginnt dies mit einem umfassenden Inventar der genutzten Online-Dienste, einschließlich derjenigen, die direkt von den Fachabteilungen ohne Genehmigung der IT-Abteilung (Shadow IT) abonniert wurden.
Wir empfehlen, dieses Inventar in vier Spalten zu strukturieren:
- Name des Dienstes, Anbieter und Standort der Daten (anwendbare Gerichtsbarkeit)
- Art der verarbeiteten Daten (personenbezogen, finanziell, operationell) und interne Klassifizierung
- Kritikalitätsgrad für die Geschäftskontinuität
- Vorhandene vertragliche Klauseln (SLA, Vorfallmeldung, Prüfungsrecht, Unterauftragsvergabe)
Dieses Register wird zum zentralen Element der Compliance-Dokumentation. Es dient sowohl für die NIS2-Prüfungen als auch für die RGPD-Anforderungen an das Verzeichnis der Verarbeitungstätigkeiten, da jeder SaaS-Dienst, der personenbezogene Daten verarbeitet, dort aufgeführt sein muss.
Der besondere Fall der Finanzunternehmen
Finanzakteure müssen NIS2 von DORA unterscheiden. Seit dem 17. Januar 2025 schreibt DORA einen direkt anwendbaren Rahmen für digitale Resilienz vor, der das Management von IT-Dienstleistern umfasst. Für diese Strukturen gilt die Zentralisierung der Dienste zwei parallelen Referenzrahmen, mit unterschiedlichen Test- und Berichtspflichten. Die Verwechslung der beiden führt zu Nichteinhaltungen in einem oder dem anderen Bereich.
Backups und Geschäftskontinuität: das vergessene Glied der Zentralisierung
Die Zentralisierung der Zugänge ohne die Zentralisierung der Backup-Strategie ist, als würde man die Eingangstür abschließen und die Fenster offen lassen. Der ReCyF schließt ausdrücklich die Backup-Verfahren und die Geschäftskontinuität in seine operationale Ziele ein.
Für jeden zentralisierten Dienst ist die Frage direkt: Was passiert, wenn dieser Dienst 48 Stunden lang nicht verfügbar ist? Die Antwort bestimmt den Kontinuitätsplan.
Die Backups müssen die Konfiguration der Konten und Rechte abdecken, nicht nur die Dokumente. Den zentralisierten Verzeichnisdienst ohne nutzbare Kopie zu verlieren bedeutet, jedes Zugriffsrecht, jede Berechtigung, jede Gruppe manuell neu zu erstellen. Bei mehreren Dutzend SaaS-Diensten kann die Rekonstruktion Wochen in Anspruch nehmen.
Ein dokumentierter und zeitgestempelter Wiederherstellungstest alle sechs Monate erfüllt die Anforderungen des ReCyF. Er ermöglicht auch zu überprüfen, ob die schriftlichen Verfahren mit der technischen Realität übereinstimmen, was selten der Fall ist, wenn sie nie getestet wurden.
Die Zentralisierung der Online-Dienste ist kein Optimierungsprojekt mehr. Es ist eine Governance-Verpflichtung, die auf präzisen Referenzrahmen basiert. Die Organisationen, die sich jetzt, vor dem vollständigen Inkrafttreten des französischen Regelwerks, engagieren, werden bei den ersten Audits einen konkreten Vorteil haben.
