11.2.2. Die betreffenden Einrichtungen a) gewähren und entziehen Zugangs- und Zugriffsrechte auf …

a)

gewähren und entziehen Zugangs- und Zugriffsrechte auf der Grundlage des Grundsatzes „Kenntnis nur, wenn nötig“ (Need-to-know), des Grundsatzes der Nutzungsnotwendigkeit (Need-to-use) und des Grundsatzes der Aufgabentrennung;

b)

stellen sicher, dass die Zugangs- und Zugriffsrechte bei Beendigung oder Änderung des Beschäftigungsverhältnisses entsprechend geändert werden;

c)

stellen sicher, dass der Zugang zu Netz- und Informationssystemen von den einschlägigen Personen genehmigt wird;

d)

stellen sicher, dass die Zugangs- und Zugriffsrechte dem Zugang bzw. Zugriff Dritter, wie Besucher, Anbieter und Diensteanbieter, angemessen Rechnung tragen, insbesondere durch Beschränkung der Zugangs- und Zugriffsrechte in Bezug auf Umfang und Dauer;

e)

führen ein Register der gewährten Zugangs- und Zugriffsrechte;

f)

protokollieren das Management von Zugangs- und Zugriffsrechten.