Bekannte Vertreter sind Active Directory, Entra ID und LDAP-basierte Verzeichnisse. Sie beantworten zwei Fragen: Existiert dieses Konto, und stimmt das Kennwort? Darauf setzen Anmeldung, Gruppenmitgliedschaften und in der Folge auch Single Sign-on auf.
Ein Verzeichnisdienst ist damit die Grundlage von IAM, aber nicht dasselbe. Er weiß, wer existiert und wozu ein Konto gehört. Er beantwortet nicht, warum jemand eine Berechtigung bekommen hat, wer sie genehmigt hat und wann sie wieder überprüft wird. Genau diese Prozesse verlangen NIS-2 und DORA nachweisbar.
Wer den Verzeichnisdienst für sein IAM hält, hat deshalb meist ein sauberes Kontenverzeichnis und trotzdem keine belastbare Antwort auf Audit-Fragen. Die fehlenden Teile sind ein Rollenmodell (RBAC), ein nachvollziehbarer Genehmigungsweg und die regelmäßige Rezertifizierung.