Erstgespräch vereinbaren
Erstgespräch vereinbaren

Die Herausforderung

Ungleiche Regeln für Non‑Human Identities

Die DORA-RTS erfassen Servicekonten, technische Benutzer und KI-Agenten an mehr Stellen, als viele Institute annehmen. Nur eine Pflicht gilt allein für Mitarbeitende, und genau dort beginnen die Diskussionen in der Prüfung.

Erstgespräch vereinbaren

Die Herausforderung

Wo ungleiche Regeln zum Problem werden

  • Geteilte Servicekonten

    Ein Konto, das drei Teams gemeinsam nutzen, verstößt nicht gegen die Pflicht zum eindeutigen Nutzerkonto. Die gilt nur für Mitarbeitende.

  • Keine Zurechenbarkeit

    Sind die Aktionen eines geteilten Kontos im Protokoll nicht unterscheidbar, fehlt die Zurechenbarkeit, die Artikel 21 Buchstabe c verlangt.

  • Keine Rezertifizierung

    Technische Konten werden oft nicht rezertifiziert, weil sie kein Mensch sind. Der Verordnungstext gibt dafür kein Argument her.

  • Kein Begriff im Gesetz

    Servicekonto, technischer Benutzer und Non-Human Identity kommen in der Verordnung nicht vor. BAIT und VAIT, die technische Nutzer regelten, gelten unter DORA nicht mehr.

  • Auswirkungen

    Die Lücke im Wortlaut

    Die Pflichten für technische Konten ergeben sich aus allgemein formulierten Artikeln. In der Prüfung argumentieren beide Seiten über diese Formulierungen.

    • Geteilte Konten ohne benannten Eigentümer
    • Aktionen keinem Nutzer zuzuordnen
    • Rechte bleiben, wenn der Zweck wegfällt
    • Technische Konten fehlen in der Rezertifizierung
    • Keine Antwort, wenn der Prüfer nachfragt
  • Unser Ansatz

    Gleiche Regeln für alle

    Jede Non-Human Identity wird so behandelt, wie es der Wortlaut für alle Konten verlangt. Die eine Lücke schließen wir selbst: eigenes Konto, benannter Eigentümer, Rezertifizierung im gleichen Takt wie bei Mitarbeitenden.

    • Eigenes Konto je Non-Human Identity und je Agent
    • Eigentümer nach Artikel 21 Buchstabe e Ziffer i
    • Lebenszyklus für alle Konten, möglichst automatisiert
    • Rezertifizierung jährlich, bei kritischen Funktionen halbjährlich
    • Protokoll mit synchronen Zeitstempeln
ANFORDERUNGFUNDSTELLEMITARBEITENDESYSTEM, AGENTEindeutige Identifizierung und AuthentifizierungArt. 20 Abs. 1Eindeutiges Nutzerkonto je IdentitätArt. 20 Abs. 2 Buchst. aLebenszyklus aller KontenArt. 20 Abs. 2 Buchst. bRechte nach Erforderlichkeit und minimaler BerechtigungArt. 21 Buchst. aGenerische Konten einschränken, ZurechenbarkeitArt. 21 Buchst. cAktualisierung der Rechte, jährlich, kritisch halbjährlichArt. 21 Buchst. e Ziff. ivProtokollierung von Zugangskontrolle und IdentitätsmanagementArt. 12 Abs. 2 Buchst. cSechs von sieben Anforderungen gelten ohne Unterscheidung nach Kontoart. Nur eine ist allein für Mitarbeitende formuliert.ANFORDERUNGMITARB.SYSTEM,AGENTEindeutige IdentifizierungArt. 20 Abs. 1Eindeutiges Konto je IdentitätArt. 20 Abs. 2 Buchst. aLebenszyklus aller KontenArt. 20 Abs. 2 Buchst. bRechte nach ErforderlichkeitArt. 21 Buchst. aGenerische Konten einschränkenArt. 21 Buchst. cAktualisierung der RechteArt. 21 Buchst. e Ziff. ivProtokollierungArt. 12 Abs. 2 Buchst. cNur eine Pflicht ist allein fürMitarbeitende formuliert.

Ergebnisse

Was gleiche Regeln für alle Konten bewirken

  • Klare Fundstellen

    Für jede Anforderung an technische Konten ist die Fundstelle in den DORA-RTS benannt. Der Prüfer sieht, worauf sich jede Kontrolle stützt.

  • Zurechenbare Aktionen

    Jede Aktion lässt sich einem Konto und damit einem Eigentümer zuordnen, wie es Artikel 21 Buchstabe c verlangt.

  • Rezertifizierung im Takt

    Technische Konten laufen in derselben Rezertifizierung wie die Konten der Mitarbeitenden, jährlich und bei kritischen Funktionen halbjährlich.

  • Nachvollziehbare Kette

    Synchrone Zeitstempel nach Artikel 12 machen eine Handlungskette über mehrere Systeme nachvollziehbar.

Abstract digital network icon

Vorgehen

Vom Abgleich bis zur Prüfung

Alle IKT-Systememindestens jährlichKritische oder wichtigeFunktionen, halbjährlichStart6 Mon.12 Mon.Rezertifizierungnach 12 Monatenalle KontoartenRezertifizierungnach 6 Monatenalle KontoartenRezertifizierungnach 12 Monatenalle KontoartenGLEICHER TAKT FÜRMitarbeitendeServicekontenKI-AgentenGilt im Regelrahmen der DORA-RTS
  1. 01

    Bestandsaufnahme

    Register aller Servicekonten, technischen Benutzer und KI-Agenten mit Zweck, Zielsystemen und letzter Nutzung.

  2. 02

    Abgleich mit dem Wortlaut

    Je Kontoart wird geprüft, welche Artikel der DORA-RTS greifen und wo heute eine Lücke besteht.

  3. 03

    Geteilte Konten trennen

    Geteilte Konten werden aufgeteilt, bis jede Aktion einem Konto und einem Eigentümer zuzuordnen ist.

  4. 04

    Rezertifizierung anbinden

    Technische Konten kommen in denselben Zyklus wie die Konten der Mitarbeitenden, mit Entzug, sobald der Zweck wegfällt.

  5. 05

    Nachweis für die Prüfung

    Eine Übersicht je Anforderung mit Fundstelle und umgesetzter Kontrolle.

Bereit für den nächsten Schritt

Erstgespräch zu Ihren technischen Konten

Beschreiben Sie kurz Ihr Vorhaben. Wir melden uns und klären mit Ihnen, wo Ihr IAM steht.

    Vielen Dank für Ihre Anfrage.

    Ihre Nachricht wurde erfolgreich übermittelt. Unser Team meldet sich zeitnah bei Ihnen.