NIS2 Zero Trust: Netzwerksicherheit neu gedacht
NIS2 verpflichtet Unternehmen gemäß Art. 21 Abs. 2 Buchst. a und e der Richtlinie (EU) 2022/2555 nicht wörtlich zu „Zero Trust“, aber faktisch zu denselben Kernprinzipien: kein blindes Vertrauen, segmentierte Netze, starke Zugriffskontrolle und fortlaufende Verifikation. Für den Mittelstand ist Zero Trust deshalb kein Trendbegriff, sondern ein realistisches Zielbild für NIS2-konforme Netzwerksicherheit.
Letzte Aktualisierung: 23. März 2026
Die entscheidende Management-Aussage lautet: Klassische Perimeter-Sicherheit reicht unter NIS2 nicht mehr aus, weil sich Risiken heute über Cloud-Zugänge, Fernwartung, Identitäten, Dienstleister und kompromittierte Endgeräte ausbreiten. Wenn Sie Ihre NIS2-Pflichten zuerst operativ einordnen wollen, sind die NIS2 Online-Schulung, unser Glossar zu Zero Trust, der Beitrag NIS2 MFA implementieren und der Praxisartikel NIS2 Verschlüsselung nach BSI die passenden Einstiege.
NIS2 und Zero Trust — Warum klassische Perimeter-Sicherheit nicht reicht
Perimeter-Sicherheit allein ist unter NIS2 zu schwach, weil der Angriff heute selten sauber „von außen“ kommt. Ein kompromittiertes Benutzerkonto, ein gestohlenes Session-Token, ein falsch konfigurierter Cloud-Dienst oder ein Dienstleisterzugang umgehen den klassischen Burggraben häufig schneller als klassische Netzwerkangriffe. Genau deshalb verlangt Art. 21 Abs. 1 NIS2 ein risikobasiertes Cyber-Risikomanagement, das technische und organisatorische Maßnahmen entlang der realen Bedrohungslage auswählt.
Der zentrale Denkfehler vieler Unternehmen lautet noch immer: „Wenn Firewall, VPN und E-Mail-Filter stehen, ist das Netz hinreichend geschützt.“ Für NIS2 ist diese Logik zu grob. Art. 21 Abs. 2 der Richtlinie (EU) 2022/2555 nennt unter anderem Incident Handling, Business Continuity, Lieferkettensicherheit, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Kryptografie und die Sicherheit von Netz- und Informationssystemen. Das ist kein reines Perimeter-Modell, sondern eine Architektur, die davon ausgeht, dass Angriffe trotz äußerer Schutzschicht stattfinden.
Für Deutschland wird diese Pflicht durch § 30 BSIG besonders greifbar. Die Norm verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen unter Berücksichtigung von Risiko, Stand der Technik und Schadenspotenzial. Der Maßnahmenkatalog in § 30 Abs. 2 BSIG macht deutlich, dass Netzwerksicherheit, Identitäten, Kryptografie, Authentifizierung, Protokollierung und Wirksamkeitsbewertung zusammengehören. Genau hier liegt die Brücke zu Zero Trust.
Zero Trust ist deshalb für NIS2 kein modisches Rebranding, sondern eine präzise Antwort auf eine regulatorische Realität: Vertrauen wird nicht mehr aus dem Netzsegment oder dem Standort eines Mitarbeitenden abgeleitet, sondern aus überprüfbarer Identität, expliziter Berechtigung, Gerätezustand, Kontext und fortlaufender Kontrolle. Wer diesen Wechsel nicht vollzieht, baut Sicherheitsmaßnahmen oft weiter für die IT-Landschaft von gestern.
Was ist Zero Trust? Grundprinzipien
Zero Trust ist ein Sicherheitsmodell, bei dem jede Anfrage an Anwendungen, Daten, Admin-Oberflächen oder Netzwerkzonen explizit geprüft wird. Die praktische Kurzform lautet: niemals implizit vertrauen, jeden Zugriff verifizieren und Berechtigungen so klein wie möglich halten. ENISA ordnet dieses Modell eng an NIS2-nahe Kontrollen wie Authentifizierung, Least Privilege, Segmentierung, Logging und Verschlüsselung an.
Die Grundprinzipien lassen sich für den Mittelstand auf sechs Bausteine verdichten:
- Verify every access. Jede Anmeldung und jede sensible Aktion wird authentifiziert; besonders privilegierte Zugriffe verlangen MFA und gegebenenfalls erneute Bestätigung.
- Least Privilege. Mitarbeitende, Dienstleister und Systeme erhalten nur die Berechtigungen, die sie für ihre Aufgabe tatsächlich brauchen.
- Assume breach. Die Architektur geht davon aus, dass einzelne Konten, Geräte oder Segmente kompromittiert werden können.
- Segment instead of flatten. Kritische Systeme werden logisch und technisch voneinander getrennt, damit sich ein Vorfall nicht ungebremst ausbreitet.
- Inspect and log. Zugriffe, Richtlinienentscheidungen und Anomalien werden zentral protokolliert und ausgewertet.
- Encrypt by default. Daten in Transit und ruhende Daten werden mit geeigneten kryptografischen Verfahren geschützt.
Für NIS2 ist besonders wichtig, dass Zero Trust kein einzelnes Produkt ist. Eine Firewall mit „Zero Trust“-Label, ein VPN mit Marketingversprechen oder ein neues IdP lösen die regulatorische Aufgabe nicht allein. Zero Trust ist ein Steuerungsmodell aus Identität, Zugriff, Netzwerk, Endgeräten, Protokollierung und Reaktion. Genau deshalb passt der Ansatz gut zu § 30 BSIG und zu BSI-Grundschutz-Bausteinen wie ORP, OPS und SYS, die organisatorische und technische Kontrollen zusammenführen.
Der häufigste Irrtum lautet, Zero Trust bedeute „alles ist überall gesperrt“. Das Gegenteil ist richtig. Ein gutes Zero-Trust-Modell macht Zugriffe nicht pauschal schwer, sondern kontrolliert. Wer legitim auf ein System zugreifen muss, bekommt genau diesen Zugriff schnell, nachvollziehbar und protokolliert. Wer außerhalb seines Kontexts handelt, wird zusätzlich geprüft oder blockiert.
NIS2-Anforderungen an Netzwerksicherheit (§ 30 BSIG-E)
NIS2 verlangt keine einzelne Technik, sondern ein Bündel wirksamer Maßnahmen. Für Zero Trust sind drei Normebenen besonders relevant: Art. 21 Abs. 1 NIS2 als risikobasierter Oberbau, Art. 21 Abs. 2 NIS2 als Mindestmaßnahmenkatalog und in Deutschland § 30 BSIG als konkrete Umsetzungsnorm. Wer Zero Trust sauber begründen will, sollte genau diese Ebenen zusammen lesen.
Art. 21 Abs. 2 Buchst. e NIS2 ist für Netzwerksicherheit zentral, weil dort die Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen angesprochen wird. Daraus folgt, dass Netzwerk- und Systemzugänge nicht nur punktuell abgesichert, sondern dauerhaft sicher betrieben werden müssen. Art. 21 Abs. 2 Buchst. i und j NIS2 verstärken diese Logik über Policies und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen sowie über grundlegende Cyberhygiene, Schulung und Zugangssicherheit einschließlich Multi-Faktor-Authentifizierung.
In Deutschland zeigt § 30 Abs. 2 BSIG die operative Richtung noch klarer. Der Katalog umfasst unter anderem Risikoanalyse, Incident Handling, Aufrechterhaltung des Betriebs, Lieferkettensicherheit, Sicherheit bei Erwerb und Wartung, Bewertung der Wirksamkeit, Kryptografie, Personalsicherheit, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Für ein Management-Team bedeutet das praktisch: Netzwerkarchitektur und Berechtigungsmodell sind nicht mehr reine IT-Detailfragen, sondern prüfungsrelevante Compliance-Themen.
Die Verbindung zu Zero Trust lässt sich anhand der Anforderungen direkt zeigen:
| NIS2 / § 30 BSIG | Zero-Trust-Prinzip | Praktische Umsetzung |
|---|---|---|
| Art. 21 Abs. 1 NIS2 / § 30 Abs. 1 BSIG | risikobasierte Verifikation | Zugriffe nach Risiko, Rolle und Kontext bewerten |
| Art. 21 Abs. 2 Buchst. e NIS2 | sichere Netz- und Systemarchitektur | Segmentierung, Jump Hosts, abgesicherte Admin-Zonen |
| Art. 21 Abs. 2 Buchst. i und j NIS2 | Zugriffskontrolle und starke Authentifizierung | MFA, SSO, Privileged Access Management |
| § 30 Abs. 2 BSIG | Wirksamkeitsprüfung | zentrale Logs, SIEM, Session-Aufzeichnungen, Tests |
| Art. 21 Abs. 2 Buchst. h NIS2 | Kryptografie | TLS 1.3, Verschlüsselung ruhender Daten, Schlüsselmanagement |
Diese Zuordnung ist wichtig, weil sie die häufige Rechtsfrage beantwortet: „Muss ich unter NIS2 wirklich Zero Trust einführen?“ Die präzise Antwort lautet: Sie müssen nicht zwingend ein Projekt mit genau diesem Namen aufsetzen. Sie müssen aber Kontrollen schaffen, die in ihrer Wirkung sehr oft auf ein Zero-Trust-Modell hinauslaufen. Genau deshalb ist Zero Trust für viele mittelständische Unternehmen der sauberste Umsetzungsrahmen.
Zero Trust Architektur für den Mittelstand
Eine Zero-Trust-Architektur für den Mittelstand muss nicht mit einem riesigen Umbau beginnen. Für NIS2-konforme Praxis reicht oft ein Zielbild mit wenigen klaren Kontrollpunkten: ein zentrales Identitätssystem, MFA für alle kritischen Rollen, saubere Netzsegmentierung, ein kontrollierter Admin-Pfad, gerätebezogene Mindestanforderungen und zentrales Logging. Der größte Fehler ist nicht, zu klein zu starten, sondern ohne Zielbild punktuelle Einzellösungen nebeneinander zu stellen.
Ein realistisches Referenzmodell sieht so aus: Nutzer authentifizieren sich über einen zentralen Identity Provider, kritische Anwendungen und VPN-Zugänge erzwingen MFA, privilegierte Administratoren betreten sensible Zonen nur über Jump Host oder PAM-Lösung, Datenbank- und Produktionszonen sind von Büro- und Benutzerzonen getrennt, und alle relevanten Zugriffe laufen in SIEM oder Log-Management zusammen. Dieses Modell entspricht den Research-Empfehlungen zu NIS2, ENISA und der BSI-Praxis wesentlich besser als ein flaches Unternehmensnetz.
Für mittelständische Unternehmen ist vor allem die Priorisierung entscheidend:
- Identitäten zuerst stabilisieren. Ohne sauberes Verzeichnis, Rollenmodell und MFA scheitert Zero Trust schon im Einstieg.
- Admin-Zugänge härten. Privilegierte Konten sind für Angreifer der schnellste Hebel; hier liefern FIDO2, Jump Hosts und Session Recording den größten Effekt.
- Kritische Systeme segmentieren. ERP, Produktionssysteme, Kundendatenbanken, Backup-Infrastruktur und Cloud-Admin-Zugänge gehören nicht in dieselbe Vertrauenszone.
- Gerätezustand prüfen. Ein veraltetes oder unverschlüsseltes Gerät darf keinen privilegierten Zugriff erhalten.
- Sichtbarkeit aufbauen. Ohne Logs, Alarmierung und regelmäßige Reviews bleibt Zero Trust nur ein Architekturdiagramm.
BSI-Grundschutz hilft an dieser Stelle als pragmatischer Referenzrahmen. Besonders relevant sind Bausteine zu Identitäts- und Berechtigungsmanagement, Netzsegmentierung, kryptografischen Verfahren, Protokollierung und Notfallmanagement. Für den Mittelstand ist das nützlich, weil Grundschutz nicht nur Technik beschreibt, sondern auch Rollen, Prozesse und Nachweise. Genau diese Evidenzen brauchen Sie unter NIS2 später für Audits, Management-Reporting und Behördenkommunikation.
Implementierung in 5 Schritten
Zero Trust lässt sich für NIS2 am besten in fünf aufeinander aufbauenden Schritten umsetzen. Die folgende Liste ist bewusst so formuliert, dass sie von Management, IT und Compliance gleichermaßen als Arbeitsplan genutzt werden kann.
- Inventarisieren Sie kritische Identitäten, Systeme und Zugriffe. Dokumentieren Sie zuerst, welche Benutzer, Dienstkonten, Administratoren, Drittparteien, SaaS-Systeme, VPN-Zugänge und sensiblen Datenbestände tatsächlich kritisch sind. Ohne diese Sicht fehlt jede belastbare Priorisierung.
- Sichern Sie privilegierte und externe Zugriffe mit MFA und klaren Rollen. Erzwingen Sie MFA für Admins, Remote-Zugänge, Cloud-Konsolen, E-Mail, Finance-Workflows und Drittparteien. Reduzieren Sie Rechte nach dem Least-Privilege-Prinzip und führen Sie zeitlich begrenzte Freigaben ein, wo möglich.
- Segmentieren Sie das Netzwerk nach Schutzbedarf. Trennen Sie mindestens Benutzerzone, Admin-Zone, Server-/Applikationszone, Datenzone und Backup-Zone. Verhindern Sie direkte Verbindungen von Benutzergeräten zu Datenbanken oder Management-Schnittstellen.
- Führen Sie kontinuierliche Verifikation und Richtlinienentscheidungen ein. Prüfen Sie bei sensiblen Aktionen Kontext, Gerät, Standort, Uhrzeit, Rollenwechsel und Risikoindikatoren. Hohe Risiken lösen zusätzliche Authentifizierung, Blockierung oder Eskalation aus.
- Messen Sie Wirksamkeit und reagieren Sie auf Abweichungen. Sammeln Sie Logs zentral, definieren Sie Alarmkriterien, überprüfen Sie Berechtigungen regelmäßig, testen Sie Segmentierung und Notfallpfade und dokumentieren Sie Korrekturmaßnahmen für Management und Audit.
Diese Fünf-Schritte-Logik ist auch deshalb stark, weil sie unmittelbar auf bestehende NIS2-Arbeitspakete einzahlt. MFA und Zugriffsschutz greifen das Thema aus NIS2 MFA implementieren auf, Kryptografie und Datenpfade schließen an NIS2 Verschlüsselung nach BSI an, und die Governance-Ebene lässt sich sauber über eine NIS2 Online-Schulung für Management und Schlüsselrollen flankieren.
Kosten und ROI einer Zero-Trust-Strategie
Zero Trust kostet Geld, aber der wirtschaftliche Vergleich darf nicht mit „nichts tun“ geführt werden, sondern mit den realen Alternativen: seitlich wandernde Angriffe, lange Vorfallzeiten, breitere Schadensausbreitung, höhere Audit-Aufwände und ineffiziente Einzelmaßnahmen. Für den Mittelstand entsteht der ROI meist nicht durch ein spektakuläres Einzeltool, sondern durch geringere Angriffsfläche, schnellere Erkennung und weniger Berechtigungschaos.
Die Kostenblöcke liegen typischerweise in fünf Bereichen:
| Kostenblock | Typischer Inhalt | Mittelstandslogik |
|---|---|---|
| Identität | IdP, MFA, FIDO2, SSO, PAM | oft hoher Nutzen bei moderaten Lizenzkosten |
| Netzwerk | Segmentierung, Firewalls, NAC, Jump Host | schrittweise statt Big Bang |
| Endgeräte | Compliance-Checks, Verschlüsselung, EDR | besonders wichtig für Remote-Zugänge |
| Monitoring | SIEM, Log-Management, Alarmierung | klein starten, kritische Logs zuerst |
| Projektarbeit | Rollenmodell, Policies, Bereinigungen, Schulung | häufig größter interner Aufwand |
In der Praxis lässt sich der Nutzen mit vier Management-Fragen bewerten. Erstens: Wie viele privilegierte Konten sind heute zu breit berechtigt? Zweitens: Wie leicht kann sich ein kompromittiertes Benutzerkonto im Netz bewegen? Drittens: Wie schnell erkennen Sie ungewöhnliche Zugriffe? Viertens: Welche Audit- und Meldeprobleme entstehen, wenn diese Fragen unbeantwortet bleiben? Wer diese Punkte ehrlich beantwortet, sieht meist schnell, dass Zero Trust kein Luxusprojekt ist.
Besonders hoch ist der ROI in drei Fällen: bei stark verteilten Teams, bei vielen Dienstleisterzugängen und bei hybriden IT-Landschaften aus Cloud, On-Premises und Fachanwendungen. Dort erzeugt das alte Perimeter-Modell die größten Blindstellen. Zero Trust reduziert diese Blindstellen, weil Entscheidungen näher an Identität, Gerät und Anwendung getroffen werden. Genau das senkt im Ernstfall nicht nur das Schadenspotenzial, sondern auch die Kosten für Forensik, Betriebsunterbrechung und Wiederanlauf.
Wer wirtschaftlich sauber starten will, sollte deshalb kein „vollständiges Zero Trust Programm“ ausschreiben, sondern drei Pilotbereiche wählen: privilegierte Admin-Zugänge, Remote Access und ein besonders sensibles Fachsystem. Wenn diese Bereiche stabil laufen, lassen sich weitere Anwendungen und Zonen geordnet anschließen.
FAQ
Ist Zero Trust Pflicht unter NIS2?
Zero Trust ist unter NIS2 nicht als Begriff ausdrücklich vorgeschrieben. Die Richtlinie verlangt aber in Art. 21 Abs. 1 und Abs. 2 genau jene risikobasierten Schutzmaßnahmen, die häufig nur mit Zero-Trust-Prinzipien konsistent umsetzbar sind: starke Authentifizierung, Zugriffskontrolle, Segmentierung, Monitoring und sichere Systemarchitektur.
Wie implementiere ich Zero Trust für NIS2-Compliance?
Beginnen Sie mit Identitäten und privilegierten Zugängen, setzen Sie MFA durch, segmentieren Sie kritische Zonen, prüfen Sie Kontext und Gerätezustand bei sensiblen Zugriffen und bauen Sie anschließend Logging sowie Wirksamkeitskontrollen auf. Diese Reihenfolge reduziert das Risiko schneller als ein unscharfer Plattform-Rollout.
Reicht Multi-Faktor-Authentifizierung allein aus?
Nein. MFA ist ein zentraler Baustein, aber kein vollständiges Zero-Trust-Modell. Wenn ein kompromittiertes Konto nach erfolgreicher Anmeldung noch immer frei durch sensible Zonen navigieren kann, fehlt Segmentierung, Richtlinienkontrolle und Monitoring. NIS2 verlangt eine Kombination wirksamer Maßnahmen, nicht nur eine einzelne Technik.
Welche Unternehmen sollten mit Zero Trust besonders früh starten?
Besonders dringlich ist der Einstieg für Unternehmen mit Fernwartung, Cloud-Admin-Zugängen, OT-/Produktionsnetzen, kritischen Dienstleistern, mehreren Standorten oder vielen privilegierten Konten. In solchen Umgebungen versagt das klassische „innen vertrauenswürdig, außen riskant“-Modell am schnellsten.
Welche BSI-Bezüge sind für Zero Trust relevant?
Für die Umsetzung sind vor allem BSI-Grundschutz-Bausteine zu Identitäts- und Berechtigungsmanagement, Netzsegmentierung, Kryptografie, Protokollierung, Detektion und Notfallmanagement relevant. Sie helfen dabei, Zero Trust nicht nur technisch, sondern auch organisatorisch und dokumentationsfähig aufzubauen.
Wie starte ich als Mittelständler ohne Überprojekt?
Starten Sie mit einem klaren Zielbild für drei Bereiche: Admin-Zugänge, Remote Access und ein sensibles Kernsystem. Wenn Identität, MFA, Segmentierung und Logs dort sauber funktionieren, können Sie den Ansatz schrittweise ausrollen, statt die gesamte Infrastruktur gleichzeitig umzubauen.
Fazit: Zero Trust ist für NIS2 das praktikable Zielbild
NIS2 verlangt nicht zwingend das Label „Zero Trust“, aber sie belohnt genau dieses Denkmuster: Identität vor Standort, Verifikation vor Vertrauen, Segmentierung vor flachen Netzen und Nachweisbarkeit statt Bauchgefühl. Für mittelständische Unternehmen ist Zero Trust deshalb der pragmatischste Weg, Art. 21 NIS2 und § 30 BSIG in eine belastbare Netzwerksicherheitsarchitektur zu übersetzen.
Wenn Sie Zero Trust nicht nur technisch, sondern auch als Management- und Compliance-Projekt aufsetzen wollen, ist die NIS2 Online-Schulung der passende nächste Schritt. Sie verbindet regulatorische Einordnung, Rollenverständnis und Umsetzungslogik für Geschäftsleitung, IT und Fachbereiche. Ergänzend helfen unser Glossar zu Zero Trust, NIS2 MFA implementieren und NIS2 Verschlüsselung nach BSI, um einzelne Bausteine zu vertiefen.