Zwei Debatten, die in vielen Unternehmen getrennt geführt werden, gehören zusammen: die Pflicht zur Umsetzung von NIS-2 und die Frage, ob und wie man Zero Trust einführt. Wer die geforderten Sicherheitsmaßnahmen des Gesetzes nebeneinanderlegt und mit den Prinzipien einer Zero-Trust-Architektur vergleicht, sieht schnell: Das ist über weite Strecken dieselbe Liste. Das Gesetz schreibt Zero Trust nicht wörtlich vor. Es verlangt aber fast jeden seiner Bausteine.
Was NIS-2 seit November 2025 konkret bedeutet
Bundestag und Bundesrat haben das NIS-2-Umsetzungsgesetz im November 2025 verabschiedet und damit die EU-Richtlinie 2022/2555 in deutsches Recht überführt. Betroffen sind nach Schätzungen rund 30.000 Unternehmen, deutlich mehr als unter der alten Regelung. Wer dazugehört, entscheidet sich an Sektor, Größe und Umsatz; die Einstufung als „wichtige“ oder „besonders wichtige“ Einrichtung bestimmt dann die Tiefe der Pflichten.
Zwei Punkte heben NIS-2 von früheren Vorgaben ab. Erstens die Sanktionen: Für besonders wichtige Einrichtungen sind Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem, was höher ist. Zweitens die Verantwortung. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, und sie kann für Versäumnisse in die Haftung geraten. Cybersicherheit wird damit vom IT-Thema zur Chefsache, im rechtlichen Sinn.
Das Pflichtenheft liest sich wie eine Zero-Trust-Spezifikation
Herzstück von NIS-2 sind die technischen und organisatorischen Maßnahmen, die Artikel 21 der Richtlinie auflistet und die das deutsche Gesetz übernimmt. Wer sie durchgeht, erkennt die Bausteine wieder, aus denen eine Zero-Trust-Architektur besteht.
| NIS-2-Anforderung | Zero-Trust-Baustein |
|---|---|
| Zugriffskontrolle, Konzepte für den Zugriff auf Ressourcen | Least Privilege: jede Anfrage einzeln autorisiert, nur das nötige Recht |
| Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung | MFA als Mindeststandard, Identität als Kontrollpunkt |
| Konzepte zur Bewertung der Wirksamkeit, Netzwerksicherheit | Mikrosegmentierung gegen laterale Bewegung |
| Sicherheit der Lieferkette, Beziehungen zu Anbietern | geprüfter, minimaler Zugriff auch für Dienstleister und Dritte |
| Bewältigung von Sicherheitsvorfällen | Assume Breach: Architektur, die den Schaden eines Einbruchs begrenzt |
| Kryptografie und Verschlüsselung | verschlüsselte, authentifizierte Verbindungen als Normalfall |
Die Übereinstimmung ist kein Zufall. Beide Ansätze reagieren auf dieselbe Realität, in der der klassische Netzwerkrand verschwunden ist. Deshalb gilt in beide Richtungen: Wer NIS-2 sauber umsetzt, baut faktisch Zero Trust. Und wer Zero Trust ernsthaft betreibt, erfüllt einen großen Teil der NIS-2-Anforderungen ohne zusätzliche Sonderprojekte.
Der deutsche Maßstab: das BSI-Positionspapier
Für die Auslegung gibt es hierzulande einen belastbaren Bezugspunkt. Das Bundesamt für Sicherheit in der Informationstechnik hat im Juli 2023 ein Positionspapier zu Zero Trust veröffentlicht. Es definiert Zero Trust als Architekturdesign-Paradigma, das aus dem Grundsatz „Assume Breach“ folgt: Man geht davon aus, dass die eigene Verteidigung jederzeit durchbrochen werden kann oder es bereits ist, und richtet die Architektur danach aus.
Aus dieser Haltung ergeben sich drei praktische Grundregeln. Jede Verbindung wird authentifiziert, wirklich jede. Kein Nutzer und kein System bekommt einen Vertrauensvorschuss, auch nicht der Server im eigenen Rechenzentrum. Und das Netzwerk wird so fein segmentiert, dass ein erfolgreicher unbefugter Zugriff nur einen kleinen Ausschnitt erreicht. Das BSI ist dabei ausdrücklich: Zero Trust ist kein Produkt, das man kauft und installiert, und kein Ersatz für Firewall, Virenschutz oder das Informationssicherheits-Managementsystem. Es ist die Ordnungslogik, die diese Bausteine zusammenführt.
Für die NIS-2-Umsetzung ist das Papier praktisch, weil es eine Behördendefinition liefert, an der sich ein Prüfer orientieren kann. Wer seine Maßnahmen gegen das Positionspapier abgleicht, argumentiert nicht mit Herstellerprospekten, sondern mit einer neutralen deutschen Referenz.
Warum das Burgmodell die Prüfung nicht mehr besteht
Jahrzehntelang funktionierte Sicherheit nach dem Burgprinzip: außen die Firewall, innen das vertrauenswürdige Netz. Wer drin war, gehörte dazu. Cloud, Homeoffice und tief verzahnte Lieferketten haben diese Trennung aufgelöst. Der Innenraum, dem man vertraut, existiert so nicht mehr.
Die Angriffszahlen bestätigen das. Der Verizon Data Breach Investigations Report führt gestohlene Zugangsdaten seit Jahren als einen der häufigsten Einstiegspunkte, und Ransomware taucht in einem großen Teil der bestätigten Datenpannen auf. Auffällig ist der wachsende Anteil von Vorfällen, an denen externe Partner beteiligt sind. Sobald ein Angreifer mit gültigen Zugangsdaten im Netz steht, beginnt die seitliche Bewegung von System zu System. Genau hier ist das Burgmodell blind, weil es internen Verkehr nicht prüft. Eine Zero-Trust-Architektur bewertet jede Anfrage neu, unabhängig vom Standort, und verwandelt das offene Innere in einen Korridor aus Kontrollpunkten.
Anfangen ist Mainstream, Reife ist selten
Die ehrlichste Standortbestimmung liegt im Abstand zwischen Absicht und Abdeckung. Erhebungen zeigen, dass ein großer Teil der Organisationen eine Zero-Trust-Strategie zumindest begonnen hat. Bei den meisten deckt sie jedoch weniger als die Hälfte der IT-Umgebung ab. Gartner rechnet damit, dass bis 2026 nur etwa 10 Prozent der Großunternehmen ein wirklich reifes und messbares Zero-Trust-Programm betreiben werden, gegenüber einem sehr niedrigen Ausgangswert.
Für die NIS-2-Frage ist das die entscheidende Nuance. Ein Prüfer interessiert sich nicht dafür, ob irgendwo MFA aktiviert wurde, sondern ob die Maßnahmen die kritischen Prozesse tatsächlich abdecken und ihre Wirksamkeit belegbar ist. Eine Zero-Trust-Insel in einem ansonsten flachen Netz erfüllt die Anforderung nicht. Auch das BSI betont, dass Zero Trust ein langfristiges Vorhaben ist, das dauerhaft Ressourcen bindet, und kein Projekt mit Endtermin. Wer das akzeptiert, kann in einigen Jahren zu der kleinen Gruppe mit reifem Programm gehören. Wer es als einmaliges IT-Projekt missversteht, bleibt bei „irgendwo angefangen“ stehen und damit angreifbar, technisch wie rechtlich.
Ein pragmatischer Einstieg in drei Schritten
Der Anfang ist weniger einschüchternd, als das Konzept klingt. Drei Schritte tragen weit.
- Bestandsaufnahme der kritischen Prozesse. Welche Geschäftsprozesse sind unverzichtbar, welche Daten und Systeme tragen sie, wohin fließen diese Daten? Ohne diese Inventur schützt man überall gleich viel und damit nirgends richtig. Sie ist zugleich die Grundlage für den Nachweis, den NIS-2 verlangt.
- MFA flächendeckend, ohne Ausnahmen. Das ist die kürzeste Strecke zwischen Aufwand und Wirkung und in den meisten Häusern in Wochen machbar. Wichtig sind die oft übersehenen Fälle: Service-Konten und Admin-Zugänge, die vielerorts bis heute mit statischen, alten Passwörtern laufen.
- Schrittweise Mikrosegmentierung der wichtigsten Systeme. Nicht das ganze Netz auf einmal, sondern entlang der Prozesse, deren Ausfall am teuersten wäre. So entsteht Schutzwirkung, bevor das Gesamtvorhaben abgeschlossen ist.
Diese Reihenfolge liefert früh sichtbare Ergebnisse und deckt zugleich die Anforderungen ab, die bei einem Audit oder einem Vorfall zuerst geprüft werden. Wer Aufbau und Betrieb nicht allein stemmen will, kann den Zugriffsteil als Managed SASE/SSE-Service beziehen und die Mikrosegmentierung von Spezialisten planen und betreiben lassen. Die Verantwortung für das Programm bleibt im Haus, die Betriebslast sinkt.
Die eigentliche Botschaft für die Geschäftsleitung
NIS-2 zwingt zur Investition in moderne Sicherheit, ob man will oder nicht. Die einzige echte Wahl liegt darin, ob man einzelne Maßnahmen ohne roten Faden aneinanderreiht oder sie entlang einer Architekturlogik ordnet, die das ganze Unternehmen abdeckt. Zero Trust ist diese Logik, und das BSI hat sie in eine deutsche Behördendefinition gegossen. Das Budget fließt so oder so. Die Frage ist nur, ob am Ende ein prüffestes System steht oder eine Sammlung von Einzelteilen, die beim nächsten Audit oder Angriff auseinanderfällt.
Eine ausführliche Einordnung der Pflichten liefert unser Beitrag Warum es sich lohnt, NIS-2 zu erfüllen; wie der Umbau in der Praxis abläuft, zeigt Zero Trust in der Praxis.
Passende Managed Services
- SASE/SSE – Zero-Trust-Zugriff (ZTNA), Secure Web Gateway und DLP als Managed Service, die zentrale NIS-2-Bausteine abdecken.
- Mikrosegmentierung – Least-Privilege bis auf Workload-Ebene gegen laterale Bewegung, geplant und betrieben von Spezialisten.