Was die baltischen NIS2-Gesetze bei MFA tatsächlich verlangen: Lettland, Litauen, Estland

NIS2 selbst sagt nur, dass eine Organisation „Multi-Faktor-Authentifizierung oder Lösungen zur kontinuierlichen Authentifizierung … sofern angemessen“ einsetzen muss (Artikel 21 Absatz 2 Buchstabe j, Richtlinie 2022/2555). Die drei baltischen Staaten haben aus dieser einen Zeile drei recht unterschiedliche Regelwerke gemacht. Wer Systeme in mehr als einem dieser Länder betreibt oder herausfinden will, nach welchen Konten eine Aufsichtsbehörde fragen wird, für den zählen die Unterschiede. Dieser Beitrag zitiert die Klauseln und zeigt, wo jede von ihnen Spielraum lässt.

Zunächst die Ausnahme auf EU-Ebene: Anbieter digitaler Infrastruktur wie DNS, Cloud, Rechenzentren, Managed-Service-Provider und Online-Marktplätze unterliegen nicht den nationalen Regeln, sondern der Durchführungsverordnung der Kommission. Deren Anhang verlangt in Punkt 11.7 MFA oder kontinuierliche Authentifizierung für den Zugang zu Netz- und Informationssystemen „entsprechend der Klassifizierung des Assets“, und Punkt 11.3.2 verlangt starke Authentifizierung „etwa Multi-Faktor-Authentifizierung“ für privilegierte Konten und Systemadministrationskonten (Verordnung 2024/2690, in Kraft seit dem 7. November 2024). Alle anderen folgen den nationalen Regeln, die wir im Folgenden durchgehen.

Lettland: Die Verordnung benennt die Konten

Lettlands Regeln sind die konkretesten der drei. Die Verordnung des Ministerkabinetts Nr. 397, Minimālās kiberdrošības prasības (Mindestanforderungen an die Cybersicherheit), gilt seit dem 2. Juli 2025 (likumi.lv) auf Grundlage des Nationalen Cybersicherheitsgesetzes (Nacionālās kiberdrošības likums, likumi.lv).

Punkt 52 schreibt MFA zwingend vor für:

• 52.1 Administratorkonten und normale Benutzerkonten von Informationssystemen der Klasse A;
• 52.2 Administratorkonten von Informationssystemen der Klasse B;
• 52.3 normale Benutzerkonten von Systemen der Klasse B, wenn auf sie aus einem externen Netz zugegriffen wird und dieser Zugriff nicht bereits über ein verschlüsseltes VPN mit MFA läuft.

Die Klassen sind eine Eigenschaft des einzelnen Informationssystems, nicht Ihrer Organisation. Die Punkte 32 bis 34 leiten sie aus den Sicherheitsklassen des Systems für Vertraulichkeit, Integrität und Verfügbarkeit ab: Eine einzige A-Einstufung macht es zu einem System der Klasse A, andernfalls genügt eine B-Einstufung für Klasse B, und alles, was zur kritischen Infrastruktur gehört, ist per Definition Klasse A. Ein Anbieter wesentlicher Dienste kann durchaus nur Systeme der Klassen B und C haben, und die Verordnung sieht das vor: Der dreijährliche Selbstbewertungsturnus gilt für jede Einrichtung ohne System der Klasse A.

Punkt 55.8 ergänzt eine Netzwerkregel für Eigentümer kritischer IKT-Infrastruktur und für Anbieter wesentlicher Dienste: Der Zugriff von außerhalb des internen Netzes auf interne Ressourcen „ist nur über eine verschlüsselte VPN-Lösung mit Multi-Faktor-Authentifizierung möglich“. Punkt 56 erklärt für Anbieter wichtiger Dienste nur die Punkte 55.1 bis 55.4 für anwendbar; 55.8 bindet sie also nicht.

Neben der MFA-Regel stehen Pflichten, die ein Prüfer beim selben Termin ebenfalls kontrollieren wird: Administratorkonten dürfen nicht für die tägliche Arbeit und normale Konten nicht für die Administration verwendet werden (Punkte 51.5 und 51.4); Zugriffe auf Informationsressourcen, einschließlich fehlgeschlagener Versuche, müssen protokolliert (Punkt 58.3) und je nach Systemklasse 18, 12 oder 6 Monate aufbewahrt werden (Punkt 57). Ein Selbstbewertungsbericht auf dem Formular in Anlage 16 der Verordnung ist für Eigentümer kritischer Infrastruktur und für jeden mit mindestens einem System der Klasse A jährlich bis zum 1. Oktober fällig, für alle übrigen alle drei Jahre (Punkte 141 und 142); er geht an das Nationale Cybersicherheitszentrum (Nacionālais kiberdrošības centrs) oder, bei kritischer Infrastruktur, an das Verfassungsschutzamt (Satversmes aizsardzības birojs, SAB).

Was die Verordnung nicht tut: Sie nennt keine Technologie. „Daudzfaktoru autentifikācija“ (Multi-Faktor-Authentifizierung) ist alles, was dort steht – kein Wort zu SMS, Einmalcodes, FIDO oder Phishing-Resistenz, und Passwortregeln legt sie überhaupt keine fest. Die Geldbußen nach dem Gesetz reichen bis zu 10 Millionen Euro für Anbieter wesentlicher Dienste oder 2 % des Umsatzes, wenn dieser 500 Millionen Euro übersteigt, und bis zu 7 Millionen Euro für Anbieter wichtiger Dienste oder 1,4 % des Umsatzes oberhalb derselben Schwelle von 500 Millionen Euro.

Litauen: alle, Benutzer eingeschlossen, mit einer 24-Monats-Frist

Litauen hat sein Cybersicherheitsgesetz (Kibernetinio saugumo įstatymas) für NIS2 neu gefasst, mit Wirkung vom 18. Oktober 2024. Artikel 14 Absatz 5 Nummer 11 führt „Lösungen zur Multi-Faktor- oder kontinuierlichen Authentifizierung“ unter den vorgeschriebenen Elementen auf, und der Regierungsbeschluss Nr. 945 vom 6. November 2024 (in Kraft seit dem 12. November 2024) billigt die ausführliche Kibernetinio saugumo reikalavimų aprašas (Beschreibung der Cybersicherheitsanforderungen) (e-seimas).

Die MFA-Regel steht in Tabelle 7 dieser Beschreibung, Zeile 61, und sie geht von den drei Ländern am weitesten: „Benutzer und Administrator müssen ihre Identität mit einem Passwort und einem zusätzlichen Authentifizierungsmittel bestätigen (Multi-Faktor-Authentifizierung)“. Sie ist für wesentliche und wichtige Einrichtungen gleichermaßen angekreuzt und hängt weder davon ab, wo sich der Benutzer befindet, noch davon, wie das System klassifiziert ist. Daneben gelten: Administration nur über ein separates Konto, das nicht für die tägliche Arbeit genutzt wird (Zeile 58), Sperrung von Konten nach drei Monaten Inaktivität bei Benutzern und zwei Monaten bei Administratoren, Sperre des Arbeitsplatzrechners nach spätestens 15 Minuten und kein Speichern von Passwörtern im Browser außerhalb eines dafür vorgesehenen Passwortmanagers. Dritte erhalten MFA „wo möglich“. Der organisatorische Teil, einschließlich eines schriftlichen Verfahrens zur Zugriffsverwaltung, das festhält, wie MFA eingesetzt wird (Punkt 65.9), ist 12 Monate nach der Registrierung im nationalen Cybersicherheits-Informationssystem fällig; die technischen Anforderungen der Tabelle 7, MFA eingeschlossen, 24 Monate nach der Registrierung (Punkt 72).

Das Gesetz verlangt außerdem mindestens alle drei Jahre ein Cybersicherheitsaudit nach der Methodik des Zentrums und mindestens alle zwei Jahre eine Schulung der Geschäftsleitung. Die Pflichten beginnen erst mit der Registrierung einer Einrichtung (Artikel 11 Absatz 2); die Aufsicht führt das Nationale Cybersicherheitszentrum (Nacionalinis kibernetinio saugumo centras, NKSC). Ein Verstoß gegen die Anforderungen des Artikels 14 gilt als „gefährlicher Verstoß“, die höchste Bußgeldstufe: für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes, für wichtige bis zu 7 Millionen Euro oder 1,4 %, jeweils je nachdem, welcher Betrag höher ist. Für öffentliche Haushaltseinrichtungen gelten niedrigere Obergrenzen. Das Gesetz wurde im Juni 2026 erneut geändert; diesen Text konnten wir nicht einsehen – prüfen Sie daher, ob sich die Artikel zu Geldbußen und zur Registrierung geändert haben.

Estland: Das Gesetz schweigt, der Standard nicht

Estlands geändertes Cybersicherheitsgesetz (Küberturvalisuse seadus) ist am 1. Januar 2026 in Kraft getreten (Riigi Teataja). Es nennt wesentliche Einrichtungen üliolulised üksused und wichtige olulised üksused, und Multi-Faktor-Authentifizierung erwähnt es an keiner Stelle. Stattdessen überlässt § 7 die Sicherheitsmaßnahmen einer Regierungsverordnung, und diese stellt die Anbieter vor die Wahl: entweder den estnischen Informationssicherheitsstandard E-ITS umsetzen oder nachweisen, dass ihre Maßnahmen ISO/IEC 27001 genügen, jeweils mit einem Konformitätsaudit alle drei Jahre (Verordnung 121).

MFA taucht dann an zwei Stellen auf. Die Anlage der Verordnung mit den Primärmaßnahmen, die für jeden unter das Gesetz fallenden Anbieter gilt, weist sie an, „mehrstufige Authentifizierung zu bevorzugen“ (Punkt 2.5) – eine weiche Formulierung, die Anbieter durch eine gleichwertige Maßnahme ersetzen dürfen. Der E-ITS-Grundschutzkatalog ist deutlicher: Wo das System es zulässt, wird MFA statt reiner Passwortauthentifizierung eingesetzt (ORP.4.M8); privilegierte Konten werden mit MFA gegen externe Angreifer und Rechteausweitung geschützt (ORP.4.M10); bei hohem Schutzbedarf sichere MFA „zum Beispiel mit ID-Karte oder Token“ (ORP.4.M21); und MFA für den Zugriff auf sensible personenbezogene Daten (CON.2.M18) (E-ITS-Katalog).

Die Fristen sind großzügig. Einrichtungen, die am 1. Januar 2026 bereits unter das Gesetz fielen, mussten sich innerhalb von drei Monaten, also bis Ende März 2026, bei der Behörde für Informationssysteme (Riigi Infosüsteemi Amet, RIA) registrieren und haben drei Jahre, bis Anfang 2029, um die Anforderungen vollständig zu erfüllen. Neue Einrichtungen haben drei Monate für die Registrierung und drei Jahre ab dem Zeitpunkt, an dem sie unter das Gesetz fallen. Die Geldbußen entsprechen denen der NIS2-Richtlinie: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für wichtige, jeweils der höhere Betrag. Wichtige Einrichtungen beaufsichtigt die RIA nur nachträglich.

Im Vergleich

Was das für Ihre tatsächlich vorhandenen Konten bedeutet

• VPN und Fernzugriff. In Lettland ist ein verschlüsseltes RADIUS-VPN mit zweitem Faktor genau das, was 55.8 von Eigentümern kritischer Infrastruktur und Anbietern wesentlicher Dienste verlangt, und es nimmt die Benutzer von Klasse-B-Systemen aus 52.3 heraus; ohne VPN braucht jeder Benutzer, der aus der Ferne auf ein Klasse-B-System zugreift, MFA an der Anwendung selbst. In Litauen ändert das VPN nichts an der Regel, weil ohnehin jeder Benutzer MFA braucht. In Estland ist die E-ITS-Formulierung „wo das System es zulässt“ genau der Punkt, zu dem bei einem VPN, das RADIUS unterstützt, Fragen zu erwarten sind.
• Administratoren. Bei Administratorkonten überschneiden sich die drei Regelwerke am stärksten: Lettland verlangt MFA für sie auf Systemen der Klassen A und B, Litauen überall, E-ITS für alle privilegierten Konten. Lettland und Litauen verlangen zudem beide ein separates Administratorkonto, das nicht für die tägliche Arbeit genutzt wird. Firewall- und Serverkonsolen, die nach wie vor nur ein Passwort verlangen, sind die wahrscheinlichste Beanstandung.
• Nachweis. Lettland will, dass fehlgeschlagene Anmeldungen protokolliert und aufbewahrt werden; Litauen will ein schriftliches Verfahren, das beschreibt, wie MFA eingesetzt wird; Estland will ein Audit anhand eines Standards. Ein Authentifizierungsverfahren, das von jeder Freigabe einen signierten, mit Zeitstempel versehenen Nachweis erzeugt, liefert Ihnen das Material für alle drei, ohne dass Sie es nachträglich rekonstruieren müssen.
• Technologie. Kein baltisches Gesetz schreibt ein Verfahren vor, und keines verwendet das Wort „phishing-resistent“. Die Umsetzungsleitlinien der ENISA empfehlen phishing-resistente MFA „wo immer möglich“ und führen FIDO2 an erster Stelle auf; die nationalen Texte gehen nicht über „Multi-Faktor“ hinaus. Das ist eine Untergrenze, kein Ziel, und der Beitrag zu NIS2 und Authentifizierung erklärt, was einen Faktor, der dem Wortlaut genügt, von einem unterscheidet, der einem Angreifer standhält.

Notakey ergänzt RADIUS-VPNs, Firewall- und Serveranmeldungen, Windows und Webanwendungen um eine Bestätigung am Telefon, die Dienst, Konto und Quelladresse anzeigt, und hinterlässt von jeder Freigabe einen signierten Nachweis auf einer Appliance, die Sie im eigenen Rechenzentrum betreiben können. Die Anleitung zu VPN-2FA zeigt, wie sich damit eine Fernzugriffsanforderung für Klasse-B-Systeme in Lettland oder Zeile 61 der Tabelle 7 in Litauen erfüllen lässt. Fordern Sie eine Demo an, und wir bilden die Konten, die Ihre nationale Regel benennt, in einem Pilotprojekt ab – oder testen Sie die Live-Demo zuerst auf Ihrem eigenen Telefon.

Dieser Artikel zitiert die Rechtstexte in der Fassung, wie sie am 29. Oktober 2026 veröffentlicht vorlag, und enthält allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die Pflichten, Klassen und Fristen, die für Ihre Organisation gelten, mit qualifiziertem Rechtsbeistand, und prüfen Sie die litauischen Änderungen vom Juni 2026, die wir beim Verfassen nicht einsehen konnten.