MFA in OT nach schwedischem NIS2-Recht – Lieferantenzugang und Notfallzugriff

Kurzantwort: Soweit MCFFS 2026:11 anwendbar ist, verlangt Kapitel 4 § 17 MFA für die Systemadministration in IT- und OT-Segmenten der Produktionsumgebung sowie für Zugriffe von Beschäftigten und Lieferanten über externe Netze. Bei anderen Zugängen ist der MFA-Bedarf zu ermitteln und zu behandeln. Nicht jeder lokale Bedienerlogin unterliegt automatisch derselben ausdrücklichen Pflicht.

Für wen gelten die Vorschriften?

Zunächst ist zu prüfen, ob der Betreiber unter das schwedische Cybersicherheitsgesetz (2025:1506) und die betreffenden Vorschriften fällt. Energie, Wasser und Industrie können betroffen sein; Industrieanlagen allein begründen jedoch keine NIS2-Pflicht.

Ausnahme beim Anwendungsbereich: Für Betreiber, die ausschließlich in bestimmten in Kapitel 1 § 1 genannten Sektoren tätig sind, einschließlich einiger digitaler und B2B-IKT-Dienstleistungen, gilt in dieser Vorschrift nur die Schulungspflicht für die Leitung. Andere oder strengere Pflichten können fortbestehen.

Entscheidungstabelle für OT-MFA

Sicheren Zugang dokumentieren

1. Anwendbarkeit nach Rechtsträger, Sektor und einschlägiger Vorschrift prüfen.
2. Zugangswege, IT/OT-Segmente, privilegierte Konten und Lieferantenzugriffe erfassen; keine sensiblen Netzpläne veröffentlichen.
3. Zugänge als MFA-pflichtig, prüfpflichtig oder außerhalb dieser Vorschrift einordnen und Verantwortliche festhalten.
4. MFA im tatsächlichen Zugangsweg testen; eine Richtlinie allein ist kein technischer Nachweis.
5. Lieferantenrechte nach Umfang und Dauer begrenzen, Zugänge schließen und Protokolle auswerten.
6. Abweichungen, Verantwortliche, Fristen, Nachtests und Entscheidungen geschützt dokumentieren.

Notfallzugang ist keine pauschale Ausnahme

Bei Ausfall des Identitätsdienstes ist ein vorher festgelegtes und getestetes Ersatzverfahren nötig. Ein Notfallkonto oder lokaler Serviceport ist nicht automatisch von einer verbindlichen MFA-Pflicht ausgenommen. Ersatzmechanismen, zeitliche Begrenzung, Vier-Augen-Prinzip und Protokollierung prüfen. Die schwedische FRA kann nach Kapitel 7 § 1 in Einzelfällen aus besonderen Gründen Ausnahmen gewähren; interne Risikoakzeptanz genügt nicht.

Zwei Praxisfälle

Fall 1 – Fernwartung im Wasserwerk: Ein Techniker administriert einen Steuerungsserver über VPN. Externen und administrativen OT-Zugang prüfen, MFA testen und Berechtigungen sowie Logs kontrollieren.

Fall 2 – lokale HMI: Ein Bediener arbeitet ohne Administratorrechte oder externen Zugang. Eine eigenständige Bedarfsprüfung und Schutz gegen unbefugte Änderungen sind zu dokumentieren.

Häufige Fragen

Braucht jede SPS und HMI eine eigene MFA-Abfrage?

Nicht unbedingt. Zugangsweg und Berechtigung sind entscheidend; MFA kann an einem geeigneten Zugangspunkt umgesetzt werden.

Sind dauerhafte gemeinsame Lieferantenkonten zulässig?

Sie schaffen Nachweisrisiken. Identität, Minimalrechte, Dauer und Protokolle nach §§ 14–17 und 21 prüfen.

Kann eine Firma wegen alter OT-Technik MFA intern aussetzen?

Eine interne Entscheidung hebt verbindliches Recht nicht auf. Konforme Lösungen und formelle Ausnahmen nach Kapitel 7 § 1 prüfen.

Quellen und rechtliche Grenzen

Cybersecurity Act (2025:1506) · NCSC/FRA: MCFFS 2026:11 · MCFFS 2026:11, full wording.

Redaktionelle Rechtsprüfung: 13. November 2026. Allgemeine Information zum schwedischen Recht, keine individuelle Rechtsberatung oder technische Sicherheitsprüfung.

Zunächst den Anwendungsbereich prüfen: Bevor Sie OT-Zugriffskontrollen festlegen, klären Sie, ob Ihr Unternehmen unter das schwedische Cybersicherheitsgesetz fällt und welche Rolle es übernimmt. Lesen Sie Welche Unternehmen fallen unter NIS2 und das schwedische Cybersicherheitsgesetz?.

Praktische Dokumentvorlagen

Bearbeitbares Paket in Word, PDF und Excel: NIS2 MFA in der OT 2026 – Lieferantenzugang, Notfallzugang und Kontrollprotokoll | Word/PDF/Excel. Die genauen Dateien stehen in der Produktbeschreibung.