NIS 2 access control under Article 21(2)(i)+(j)
Article 21(2)(i) names access control policies. Article 21(2)(j) names multi-factor authentication. CIR §11 covers them together in seven sub-sections. This page walks the broader policy, privileged-account and identity duties. The dedicated MFA page covers §11.7.
The short version
Access control sits at points (i) and (j) of Article 21(2). Point (i) names 'human resources security, access control policies and asset management'. Point (j) names 'the use of multi-factor authentication or continuous authentication solutions, secured voice, video and text communications'. Both apply to every essential and important entity across the EU.
CIR (EU) 2024/2690 §11 covers both letters together, under the heading 'Access control (Article 21(2) points (i) and (j) of Directive (EU) 2022/2555)'. It splits the duty into seven sub-sections: the policy itself, rights management, privileged accounts, system-administration systems, identification, authentication, and multi-factor authentication. This page walks §11.1 through §11.6. For §11.7 specifically, see the dedicated MFA page.
Duitsland neemt de beleidsplicht over in §30(2)(9) BSIG en de MFA-plicht in §30(2)(10) BSIG. De IT-Grundschutz-module ORP.4 'Identitäts- und Berechtigungsmanagement' van het BSI is een aanbevolen manier om dit uit te voeren, geen wettelijke basis.
Article 21(2)(i) + (j) NIS 2 Directive (2022/2555)
i) beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa; j) wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.
Punten (i) en (j) zijn twee van de tien maatregelen van Artikel 21(2). (i) bundelt drie onderwerpen, waarvan toegangscontrole het middelste is. (j) staat er direct naast op de lijst. CIR punt 11 behandelt beide samen.
CIR (EU) 2024/2690, Annex §11
Toegangscontrole (artikel 21, lid 2, punten i) en j), van Richtlijn (EU) 2022/2555).
CIR §11 heeft zeven onderdelen: §11.1 beleid voor toegangscontrole, §11.2 beheer van toegangsrechten, §11.3 geprivilegieerde accounts en systeembeheeraccounts, §11.4 systeembeheersystemen, §11.5 identificatie, §11.6 authenticatie, §11.7 multifactorauthenticatie. Deze verordening bindt alleen de entiteitstypen die in Art. 1 zijn genoemd (DNS, TLD, cloud, datacenters, CDN's, MSP's, MSSP's, online marktplaatsen, zoekmachines, sociale netwerken, vertrouwensdiensten).
§30(2)(9) and (10) BSIG (Germany)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Germany splits the EU's point (i)+(j) into two BSIG numbers. §30(2)(9) carries access control and asset management. §30(2)(10) carries MFA and secure communications. The substance is the same EU rule.
Policy and rights management
Leg vast hoe toegang werkt (logisch en fysiek) voor personeel, bezoekers, leveranciers en dienstverleners. Verleen, wijzig en trek rechten in op basis van bedrijfsbehoefte: need-to-know, least privilege, functiescheiding. Elk recht is toegewezen aan een benoemde persoon. Intrekking loopt mee met een wijziging in het dienstverband, niet met een wekelijkse cyclus. Toegang van derden (bezoekers, leveranciers) wordt bijgehouden.
Privileged and admin accounts
Beheerdersaccounts krijgen sterke identificatie, authenticatie en autorisatie. Uitsluitend speciale beheeraccounts, alleen gebruikt voor installatie, configuratie, beheer en onderhoud. Beheerdersrechten worden individueel toegesneden en beperkt. Systeembeheersystemen worden alleen voor beheer gebruikt, zijn logisch gescheiden van toepassingssoftware die niet voor beheer dient, en worden beschermd met authenticatie en versleuteling.
Identity and authentication
Identiteitslevenscyclus: unieke ID's, elke ID gekoppeld aan één persoon, monitoring en logging over de hele levenscyclus. Authenticatieprocedures sluiten aan op het toegangsbeleid: sterkte van de authenticatie afgestemd op de classificatie van de asset, wijzigingsprocedures, blokkering bij mislukte pogingen, sessietime-outs, aparte inloggegevens voor geprivilegieerde accounts.
Need-to-know, least privilege, functiescheiding
Punt 11.2.2(a) CIR noemt alle drie (de Duitse versie zegt need-to-use waar de Engelse least privilege zegt). Need-to-know: alleen wie de gegevens nodig heeft, krijgt ze. Least privilege: rechten passen bij de taak, niet bij de functietitel. Functiescheiding: niemand mag hetzelfde recht kunnen verlenen, gebruiken en controleren. Als uw AD-groepen 'IT' en 'iedereen' heten, hebt u geen van de drie uitgevoerd.
Privileged is not just regular with more rights
Voor de digitale aanbieders die de CIR dekt, leggen punt 11.3 en 11.4 de lat specifiek voor beheerdersaccounts hoger. Sterke identificatie. MFA staat al in §11.3 zelf genoemd, niet pas in §11.7. Speciale accounts die alleen voor beheerwerk worden gebruikt. Systeembeheersystemen logisch gescheiden van toepassingssoftware. Het punt: een gecompromitteerd beheerdersaccount compromitteert alles, dus beheerdersaccounts krijgen een eigen regime.
BSI / IT-Grundschutz ORP.4
De IT-Grundschutz-module ORP.4 'Identitäts- und Berechtigungsmanagement' van het BSI behandelt identiteitslevenscyclus, rolgebaseerde rechten, scheiding van geprivilegieerde accounts, wachtwoordregels en beoordelingen. Voor bedrijven is het een aanbeveling. Alleen voor instanties van de federale overheid bepaalt § 44(2) BSIG dat het voldoen aan de minimumeisen van Grundschutz aan § 30 voldoet.
ENISA Technical Implementation Guidance
De Technical Implementation Guidance van ENISA voor CIR (EU) 2024/2690 loopt elk onderdeel van §11 in operationele taal door en koppelt het aan ISO/IEC 27001:2022 (onder meer A.5.15 tot en met A.5.18, A.8.2, A.8.3 en A.8.5) en NIST CSF 2.0 (PR.AA). ENISA stelt dat de mapping geen maatstaf voor gelijkwaardigheid is, dus toets een bestaande ISO 27001-opzet aan elk punt.
National transposition laws
Elke lidstaat zet Artikel 21(2)(i) en (j) om in eigen recht (Nederland: Cyberbeveiligingswet; Oostenrijk: NISG 2026; België: zijn NIS2-wet). De richtlijn stelt een minimum vast en lidstaten mogen verder gaan (Art. 5 NIS 2), dus de nationale tekst beslist. Wat ook verschilt: welke basisnorm de nationale toezichthouder aanwijst.
We have AD groups, so we have access control.
Een begin, niet de eindstreep. Voor de digitale aanbieders die de CIR dekt, vragen punt 11.1 en 11.2 om een gedocumenteerd beleid voor toegangsrechten, rechten toegewezen aan benoemde personen, een intrekkingsprocedure gekoppeld aan wijzigingen in het dienstverband en een auditlog van verleende en ingetrokken rechten. AD-groepen geven u het mechanisme. Ze geven u niet het beleid, het register van benoemde personen of de joiners-movers-leavers-procedure.
Our admins use their normal account for admin work, with sudo or 'run as administrator'.
Voor de digitale aanbieders die de CIR dekt, vereist punt 11.3.2(b) specifieke accounts die uitsluitend voor systeembeheer worden gebruikt, zoals installatie, configuratie, beheer of onderhoud. Voor alle anderen is het goede praktijk, geen wettelijke plicht. Het gewone account van een beheerder is voor e-mail, agenda en Excel; een apart beheeraccount, met een eigen tweede factor, is voor het geprivilegieerde werk. Beide mengen betekent dat een phishingmail de beheerdersrol kan bereiken.
We sync access rights every Monday morning.
Dichtbij, maar niet wat punt 11.2.2(b) CIR vraagt: rechten worden gewijzigd bij beëindiging of wijziging van het dienstverband, niet volgens een kalendercyclus. Voor de toetsing van rechten zegt punt 11.2.3 'met geplande tussenpozen', en geen enkele tekst stelt het interval vast. (Beide binden de digitale aanbieders die de CIR dekt.)
Een typische opzet: Active Directory of Entra ID voor identiteiten, AD-groepen voor toegang tot applicaties, een HR-systeem dat onboardingtickets aan IT geeft. Dat geeft u het mechanisme. Het beleidswerk zit op drie plekken.
Drie plekken om eerst te controleren: een schriftelijk beleid voor toegangscontrole dat actueel en goedgekeurd is, speciale beheeraccounts en een joiners-movers-leavers-procedure die door HR wordt aangestuurd in plaats van door IT alleen (anders blijft het account van een externe staan omdat HR IT nooit heeft laten weten dat die weg is).
- Directive (EU) 2022/2555 (NIS 2), Article 21(2)(i) and (j): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Commission Implementing Regulation (EU) 2024/2690 (CIR), Annex §11: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSI Act (BSIG), §30(2)(9) and §30(2)(10) as amended by the NIS2 Implementation and Cybersecurity Strengthening Act
- IT-Grundschutz Compendium, module ORP.4 'Identitäts- und Berechtigungsmanagement': bsi.bund.de/grundschutz
- ENISA Technical Implementation Guidance for CIR (EU) 2024/2690 (versie 1.0, juni 2025)
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
