NIS2 nach der Frist: Was Netzsegmentierung als Nachweis leisten muss

Am 31. Juli 2026 ist die Nachfrist abgelaufen, die das BSI für die Registrierung nach § 33 BSIG eingeräumt hatte. Der Termin war keine neue Rechtsfrist — die Pflicht bestand bereits vorher —, sondern ein Zeichen von Nachsicht bei der Durchsetzung. Für die technische Arbeit ändert das wenig: Die Registrierung ist ein Formular. Die Pflichten aus § 30 BSIG sind ein Netz.

Wo der Stichtag steht — und was er nicht erledigt

Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Das BSI erwartet rund 29.500 regulierte Einrichtungen — zuvor waren es etwa 4.500. Registriert hatten sich bis zum gesetzlichen Termin am 6. März 2026 rund 11.500, bis Ende Mai 2026 etwa 18.500. Daraufhin kommunizierte das BSI eine Nachsicht bei der Durchsetzung bis Ende Juli 2026.

Die Registrierung ist dabei der sichtbarste, aber kleinste Teil. Sie sagt der Aufsicht, dass es Sie gibt. Sie sagt nichts darüber, ob Ihr Netz die Anforderungen erfüllt. Genau diese Lücke ist der Grund, warum die zweite Welle der Arbeit jetzt beginnt — und warum sie im Netz stattfindet.

Warum Segmentierung das prüfbarste Feld von § 30 ist

§ 30 BSIG listet zehn Felder von Risikomanagementmaßnahmen — von der Risikoanalyse über Backup-Management und Lieferkettensicherheit bis zu Kryptografie und Multi-Faktor-Authentisierung. Neun davon lassen sich mit Konzepten, Richtlinien und Prozessbeschreibungen belegen. Eines nicht.

Netzsegmentierung ist ein messbarer Zustand. Ein Prüfer, ein Penetrationstester oder ein Angreifer stellt dieselbe Frage: Kommt dieses System an jenes heran? Die Antwort ist binär, reproduzierbar und unabhängig davon, was im Sicherheitskonzept steht. Deshalb ist Segmentierung der Teil, an dem sich zuerst zeigt, ob ein Sicherheitsprogramm Substanz hat.

Was „Stand der Technik“ hier praktisch bedeutet

Das Gesetz nennt keine Produkte und keine VLAN-Zahlen. Es verlangt Maßnahmen, die dem Stand der Technik entsprechen und im Verhältnis zum Risiko stehen. Übersetzt in Netzarbeit heißt das: Die Zonen folgen dem Schutzbedarf, nicht der gewachsenen Verkabelung. Der Übergang zwischen zwei Zonen ist ein bewusst entschiedener, dokumentierter Punkt. Und die Regel an diesem Punkt ist enger als „alles außer dem, was letztes Jahr aufgefallen ist“.

Vom flachen Netz zur belegbaren Zone

Der häufigste Fehler ist der Sprung ins Werkzeug: eine Segmentierungsplattform beschaffen, bevor bekannt ist, was eigentlich miteinander sprechen muss. Die Reihenfolge, die in Projekten trägt, ist die umgekehrte.

1. 01

   Inventar

   Was hängt im Netz, wem gehört es, welchen Schutzbedarf hat es? Ohne Inventar ist jede Zone eine Vermutung. Die Quelle darf eine Datenbank sein, aber sie muss eine einzige sein.

2. 02

   Kommunikationsmatrix

   Welche Beziehung ist fachlich notwendig? Aufgenommen aus echtem Verkehr (NetFlow, Firewall-Logs, Spanning-Port), nicht aus Erinnerung. Hier entstehen die unangenehmen Funde — die Fernwartung, von der niemand mehr wusste.

3. 03

   Zonenschnitt

   Systeme mit gleichem Schutzbedarf und gleichem Vertrauensniveau bilden eine Zone. Client, Server, Management, Produktion, Gäste, Fremdzugang: das ist der Anfang, nicht das Ziel.

4. 04

   Durchsetzungspunkt

   Jeder Zonenübergang bekommt eine Stelle, an der die Regel tatsächlich greift — Firewall, Routing-Instanz oder Policy im Switch. Eine Zone ohne Durchsetzungspunkt ist eine Beschriftung.

5. 05

   Kontrollierter Rollout

   Erst beobachten, dann durchsetzen. Regeln laufen zunächst protokollierend, die Abweichungen werden fachlich geklärt, und erst danach fällt der Riegel. So wird aus Segmentierung kein Produktionsstillstand.

6. 06

   Nachweis

   Der Zustand wird wiederholbar geprüft: definierte Testfälle, die zeigen, dass eine verbotene Beziehung wirklich scheitert. Ein Testbericht mit Datum ist der Nachweis — nicht der Screenshot einer Regelliste.

Wo die Regel greift: vier Durchsetzungsmodelle

Es gibt nicht das eine richtige Verfahren. Es gibt vier gebräuchliche, die sich in Granularität, Betriebsaufwand und Nachweisfähigkeit deutlich unterscheiden. Die meisten belastbaren Architekturen kombinieren zwei davon.

Der entscheidende Unterschied liegt nicht in der Technik, sondern in der Frage, wovon die Regel abhängt. Eine IP-basierte Regel bindet Sicherheit an Topologie: Zieht das System um, zerfällt die Aussage. Eine gruppenbasierte Regel bindet sie an eine Rolle, die bei der Anmeldung vergeben wird — sie überlebt den Umzug, verlangt aber eine funktionierende Identitätsschicht. Wer beides ohne Not mischt, bekommt zwei Wahrheiten über denselben Verkehr.

Was im Prüffall tatsächlich trägt

Aufsicht und Auditoren fragen selten nach einzelnen Regeln. Sie fragen nach der Kette: Wie wissen Sie, was es gibt — wie haben Sie entschieden — wie wird es durchgesetzt — wie wissen Sie, dass es noch gilt? Fünf Artefakte beantworten diese Kette:

• Ein versioniertes Zonenmodell, das jede Zone mit Schutzbedarf und Verantwortlichem benennt.
• Die Kommunikationsmatrix als gepflegtes Dokument, nicht als einmalige Erhebung — mit Datum der letzten Verifikation.
• Die Regelwerke als Konfiguration im Repository, mit nachvollziehbarer Historie: Wer hat wann was warum geändert?
• Ein Testfallsatz, der die verbotenen Beziehungen aktiv prüft und dessen Ergebnis protokolliert wird.
• Ein Ausnahmeregister mit Befristung — jede dauerhafte Ausnahme ohne Ablaufdatum ist eine stille Rücknahme der Architektur.

Diese fünf Artefakte sind genau die, die auch ohne NIS2 den Betrieb tragen. Das ist kein Zufall: Der Gesetzgeber verlangt im Kern die Nachvollziehbarkeit, die ein sauber geführtes Netz ohnehin hat. Wie wir sie erzeugen, beschreibt unsere Arbeitsweise in Netzwerk-Security und Unternehmensnetze.

Die Meldekette braucht Netzdaten, nicht nur Prozesse

§ 32 BSIG staffelt die Meldung eines erheblichen Vorfalls in drei Stufen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Die erste Stufe ist die harte. 24 Stunden nach Kenntnis müssen Sie sagen können, ob ein Vorfall grenzüberschreitende Auswirkungen haben kann — und dafür müssen Sie wissen, wie weit er reichen konnte.

Genau hier zahlt sich die Segmentierung zum zweiten Mal aus. In einem flachen Netz ist die ehrliche Antwort auf die Frage nach der Reichweite: „alles“. In einer Zonenarchitektur mit protokollierten Übergängen ist sie eine Liste. Der Unterschied entscheidet, ob die 24-Stunden-Meldung eine Feststellung oder eine Vermutung ist.

Warum das nicht in der IT allein entschieden wird

§ 38 BSIG verlagert die Verantwortung ausdrücklich nach oben: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Sie kann bei Pflichtverletzungen persönlich haften. Für die Netzarbeit hat das eine praktische Folge, die oft übersehen wird — die Freigabe eines Zonenmodells ist kein IT-interner Akt mehr, sondern eine dokumentationspflichtige Leitungsentscheidung.

In der Praxis heißt das: Das Zonenmodell braucht eine Fassung, die eine Geschäftsführung lesen und zeichnen kann. Nicht die Regelliste, sondern die Aussage dahinter — welche Bereiche getrennt sind, welches Risiko damit begrenzt wird, welche Ausnahmen bewusst bestehen bleiben.

Die ersten 90 Tage, wenn bisher nichts passiert ist

Wenn Sie erst jetzt anfangen, ist der Rückstand real, aber beherrschbar. Was in diesem Zeitraum tatsächlich zu schaffen ist:

• Registrierung nachholen. Verspätet ist besser als gar nicht — sie zeigt der Aufsicht eine Reaktion.
• Sichtbarkeit herstellen. Vier bis sechs Wochen Verkehrsaufzeichnung an den vermuteten Grenzen liefern die Faktenbasis, die kein Workshop ersetzt.
• Die zwei gefährlichsten Übergänge zuerst. In der Regel: Fremd- und Fernzugänge sowie der Übergang zwischen Büro- und Produktions- beziehungsweise Server-Welt.
• Ausnahmen befristen. Jede bestehende Any-Any-Regel bekommt ein Ablaufdatum und einen Namen.
• Den Nachweis von Anfang an mitbauen. Ein Test, der nach jedem Change läuft, kostet in Woche eins wenig und ist in Monat zwölf nicht mehr nachzurüsten.

Der Rest ist Handwerk und Zeit. Wichtig ist nur, dass die Kette geschlossen bleibt: Was nicht inventarisiert ist, kann nicht zoniert werden. Was nicht zoniert ist, kann nicht durchgesetzt werden. Was nicht getestet wird, ist kein Nachweis.