NIS2-Netzwerksicherheit und Segmentierung: Was § 30 BSIG vorschreibt – und wo die EU-Feinregeln nur für digitale Infrastruktur gelten

Die meisten Ratgeber zur NIS2-Netzwerksicherheit behandeln Segmentierung als eine einzige, universelle Pflicht: Netzwerk in Zonen aufteilen, Firewalls dazwischen, fertig. Das ist unvollständig – und kann teuer werden, in beide Richtungen. Wer die Anforderungen der Durchführungsverordnung (CIR) 2024/2690 pauschal auf sein gesamtes Unternehmen anwendet, investiert möglicherweise in ein Kontrollniveau, das rechtlich gar nicht für ihn gilt. Wer sie ignoriert, weil "das nur für Cloud-Anbieter ist", verpasst den detailliertesten verfügbaren Maßstab für die eigene, allgemeinere Pflicht.

Dieser Leitfaden trennt die zwei Ebenen sauber: die allgemeine Verpflichtung aus Artikel 21(2)(e) der NIS2-Richtlinie bzw. § 30 Abs. 2 Nr. 5 BSIG, die für alle besonders wichtigen und wichtigen Einrichtungen gilt – und die granulare CIR-Checkliste (Abschnitt 6.7 Netzsicherheit, 6.8 Netzsegmentierung), die nur rund zehn Kategorien digitaler Infrastruktur- und Diensteanbieter direkt bindet. Anschließend: eine praxistaugliche 5-Schritte-Umsetzung, die für beide Gruppen funktioniert.

Wer muss was? Zwei Ebenen der NIS2-Netzwerksicherheit

Bevor Sie Budget für Firewalls oder Mikrosegmentierungs-Software freigeben, klären Sie, welche Ebene für Ihre Einrichtung gilt. Die Verwechslung beider Ebenen ist der häufigste Fehler, den wir in Erstgesprächen mit Compliance-Verantwortlichen sehen – meist in Richtung "wir müssen das volle CIR-Programm umsetzen", obwohl die Einrichtung gar nicht zum gebundenen Kreis zählt.

Ebene	Rechtsgrundlage	Gilt für	Detailgrad
Allgemeine Pflicht	Art. 21(2)(e) NIS2-Richtlinie [1] / § 30 Abs. 2 Nr. 5 BSIG [2]	Alle besonders wichtigen und wichtigen Einrichtungen (alle 18 Sektoren)	Prinzipienbasiert, keine Technologievorgabe
CIR-Feinregeln	CIR 2024/2690, Anhang Abschnitt 6.7 & 6.8 [3][5]	Nur DNS-Anbieter, TLD-Registries, Cloud-, Rechenzentrums-, CDN-, MSP-, MSSP-, Marktplatz-, Suchmaschinen-, Social-Media- und Vertrauensdiensteanbieter [6]	Granulare technische Einzelmaßnahmen (12 bzw. 8 Unterpunkte)

Ein Beispiel zur Einordnung: Ein mittelständischer Maschinenbauer, der als "wichtige Einrichtung" unter NIS2 fällt, muss keinen der zwölf CIR-Einzelpunkte aus Abschnitt 6.7 gegenüber einer Aufsichtsbehörde belegen – wohl aber eine vergleichbar wirksame, dokumentierte Netzwerkarchitektur nach § 30 Abs. 2 Nr. 5 BSIG. Ein Rechenzentrumsbetreiber im selben Industriepark unterliegt dagegen beiden Ebenen gleichzeitig, weil er zu den in der CIR namentlich aufgezählten Anbieterkategorien zählt.

Gehört Ihre Einrichtung nicht zu den in der CIR aufgezählten Kategorien, müssen Sie Abschnitt 6.7/6.8 nicht Punkt für Punkt umsetzen. Sie erfüllen die allgemeine Pflicht nach Art. 21(2)(e) – und die CIR-Checkliste bleibt trotzdem der präziseste öffentlich verfügbare Maßstab dafür, was Aufsichtsbehörden unter "angemessener Netzwerksicherheit" verstehen. Auch das BSI selbst nennt Netzwerksegmentierung auf seiner eigenen Übersichtsseite nur als Beispiel unter mehreren Präventionsmaßnahmen, nicht als eigenständig nummerierte gesetzliche Einzelpflicht [8].

Die gesetzliche Basis: Artikel 21(2)(e) und § 30 Abs. 2 Nr. 5 BSIG

Die NIS2-Richtlinie selbst kennt keinen eigenen Artikel "Netzwerksicherheit". Netzwerkschutz ist Teil des breiteren Art. 21(2)(e): "Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich der Bewältigung und Offenlegung von Schwachstellen" [1]. Deutschland hat diese Vorgabe wortgleich in § 30 Abs. 2 Nr. 5 BSIG umgesetzt: "Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen" [2].

Für Compliance-Verantwortliche bedeutet das: Der Gesetzestext schreibt kein bestimmtes Segmentierungsmodell, keine bestimmte Firewall-Architektur und keine Mikrosegmentierung vor. Er verlangt – wie der gesamte § 30 BSIG – angemessene, verhältnismäßige und wirksame Maßnahmen nach Stand der Technik, ohne konkrete Technologie festzulegen. Das eröffnet Spielraum, aber auch Unsicherheit: Ohne einen Referenzrahmen weiß ein IT-Leiter nicht, ob "drei VLANs mit einer Firewall" als angemessen gilt oder nicht. Genau hier wird die CIR-Checkliste relevant – nicht als direkte Pflicht für alle, sondern als der am besten dokumentierte verfügbare Maßstab.

Die Verhältnismäßigkeit selbst ist gestuft: § 30 Abs. 1 BSIG verlangt ausdrücklich, dass Maßnahmen "angemessen" im Verhältnis zu Eintrittswahrscheinlichkeit und Schwere eines Sicherheitsvorfalls sein müssen – ein Zehn-Personen-Handwerksbetrieb, der als wichtige Einrichtung eingestuft ist, muss keine Segmentierungsarchitektur mit demselben Reifegrad nachweisen wie ein KRITIS-Betreiber. Wichtig dabei: Die größenabhängige Hoch­stufung zu einer besonders wichtigen Einrichtung greift nur für Anlage-1-Sektoren (Energie, Finanzwesen, Gesundheit u. a.) – für Anlage-2-Sektoren wie den Maschinenbau gibt es keinen größenbasierten Aufstufungspfad, sodass dort allein die KRITIS-Einordnung über das strengere Maßnahmenniveau entscheidet.

Die CIR-Checkliste im Detail: Abschnitt 6.7 und 6.8

Für die rund zehn CIR-gebundenen Anbieterkategorien – und als Orientierung für alle anderen – listet die Durchführungsverordnung zwei aufeinanderfolgende Abschnitte mit konkreten Einzelmaßnahmen [3][5]. Abschnitt 6.7 (Netzsicherheit) verlangt unter anderem:

• Die Netzarchitektur verständlich und aktuell dokumentieren
• Kontrollen zum Schutz interner Netzdomänen vor unbefugtem Zugriff einrichten
• Nicht benötigte Verbindungen und Dienste ausdrücklich verbieten oder deaktivieren
• Fernzugriff – einschließlich Dienstleisterzugriff – kontrollieren und zeitlich begrenzen
• Nur zugelassene Endgeräte zulassen, isolierte Kanäle mit sicheren Endpunkten nutzen
• Umsetzungspläne für moderne Netzwerkprotokolle, E-Mail-Sicherheit und DNS-/Routing-Best-Practices erstellen

Abschnitt 6.8 (Netzsegmentierung) baut direkt darauf auf und verlangt:

• Systeme entsprechend der Risikobewertung in Netze oder Zonen segmentieren, getrennt von Drittsystemen
• Netzzugang auf Basis einer Bewertung der jeweiligen Sicherheitsanforderungen gewähren
• Kritische Systeme in gesicherten Zonen platzieren, eine demilitarisierte Zone (DMZ) einrichten
• Zugang und Kommunikation zwischen und innerhalb von Zonen einschränken
• Verwaltungsnetz vom operativen Netz trennen, Netzverwaltungskanäle vom übrigen Verkehr isolieren
• Produktionssysteme von Entwicklungs- und Testsystemen trennen
• Segmentierung in geplanten Abständen sowie nach wesentlichen Vorfällen oder Änderungen überprüfen

Für ein Unternehmen außerhalb der CIR-Kategorien ist diese Liste kein Prüfungskatalog mit Bestehen-oder-Durchfallen – aber ein realistischer Zielzustand, an dem sich die eigene, prinzipienbasierte § 30-Umsetzung messen lässt, wenn eine Aufsichtsbehörde nach dem "Stand der Technik" fragt.

Zero Trust nach ENISA: Empfehlung für alle, Pflicht für niemanden

Die ENISA hat im Juni 2025 eine technische Umsetzungsanleitung zu den CIR-Risikomanagementmaßnahmen veröffentlicht, die explizit Zero-Trust-Prinzipien empfiehlt: Need-to-know-Zugriff, geringste Rechte, Aufgabentrennung als Standardhaltung [7]. Wichtig für die Einordnung: ENISA stellt selbst klar, dass dieses Dokument "kein rechtsverbindliches Dokument" ist und nationale Rahmenwerke nicht ersetzt [7]. Es richtet sich in erster Linie an dieselben CIR-gebundenen Anbieter – funktioniert aber als Zero-Trust-Kompass für jede Einrichtung, unabhängig vom rechtlichen Anwendungsbereich.

Praktisch heißt das: Jede Verbindung wird verifiziert, jede Sitzung erneut authentifiziert, Segmentierungszonen werden mit identitätsbasierter Zugriffskontrolle kombiniert statt allein auf Netzwerkgrenzen zu vertrauen. Ein Zonenkonzept ohne Identitätsprüfung an den Übergängen bleibt eine partielle Lösung: Ein kompromittiertes, aber legitim in einer Zone platziertes Gerät kann sich sonst weiterhin frei innerhalb dieser Zone bewegen, selbst wenn die Zonengrenzen selbst hart durchgesetzt sind.

Warum "wir haben VLANs" ein teurer Irrtum ist

Ein VLAN ist zunächst nur eine logische Rundsende-Grenze (Broadcast-Domain) – keine Sicherheitsgrenze. Ohne durchgesetzte Firewall-Regeln zwischen den VLANs kann ein Gerät in Zone A ein Gerät in Zone B weiterhin problemlos ansprechen, solange Routing zwischen beiden existiert; das VLAN verhindert lediglich, dass Broadcast-Verkehr die Zonengrenze überquert. Genau diese Verwechslung von logischer Trennung und tatsächlicher Zugriffskontrolle ist der Kern von CIR 6.8(e): Zugang und Kommunikation zwischen Zonen müssen aktiv eingeschränkt werden, nicht nur logisch gruppiert. Eine 2026 veröffentlichte Analyse von Zero Networks – einem Mikrosegmentierungs-Anbieter, dessen kommerzielles Interesse hier offen benannt sei – wertete 54 Billionen Netzwerkaktivitäten in 312 Unternehmensumgebungen aus und kam auf folgende Werte [9]:

Befund	Anteil
Server von überall im internen Netz erreichbar	80 %
Interner (Ost-West-)Verkehr ungeschützt	über 70 %
Server akzeptieren RDP/SSH aus mehreren internen Quellen	87 %
Interne Authentifizierung nutzt noch das veraltete NTLM-Protokoll	43 %

Diese Zahlen stammen aus einer herstellerbeauftragten Studie und sind entsprechend mit Vorsicht zu lesen – als Größenordnung für "flache Netzwerke" sind sie aber konsistent mit dem, was CIR Abschnitt 6.8 mit "Zugang und Kommunikation zwischen Zonen einschränken" adressieren will: Ein Angreifer, der eine einzelne Workstation kompromittiert, soll nicht binnen Minuten auf Produktionssysteme oder Backup-Infrastruktur zugreifen können.

5 Schritte zur praktischen Umsetzung

Unabhängig davon, ob Sie CIR-gebunden sind oder nur die allgemeine Pflicht erfüllen: Die folgende Reihenfolge hat sich in der Praxis bewährt, weil jeder Schritt auf dem vorherigen aufbaut.

Schritt	Aufwand	Verantwortlich
1. Netzwerkinventar: alle Geräte, Verbindungen und Datenflüsse erfassen	Mittel	IT-/OT-Team
2. Risikobewertung je System – Kritikalität bestimmt Zonenzuordnung	Mittel	IT-Sicherheitsbeauftragter
3. Zonenkonzept entwickeln (u. a. Büro, Produktion, Verwaltung, Gast/WLAN, IoT/OT getrennt)	Hoch	IT-Leitung, CISO
4. Firewall-Regeln zwischen Zonen durchsetzen, Verwaltungsnetz isolieren	Hoch	Netzwerkadministration
5. Dokumentation erstellen, Review-Zyklus festlegen	Niedrig	Compliance-Beauftragter

Der häufigste Fehler liegt nicht in Schritt 4, sondern in Schritt 1: Ohne vollständiges Inventar – inklusive vergessener OT-Geräte, IoT-Sensoren und Gast-WLANs – ist jede spätere Zonenzuordnung lückenhaft.

Sonderfall: OT-Netzwerke und Legacy-Systeme

In Produktionsumgebungen ist Segmentierung oft nicht nur eine von mehreren Maßnahmen, sondern die einzige praktikable. Viele speicherprogrammierbare Steuerungen (SPS) und ältere Maschinensteuerungen laufen auf Betriebssystemen, für die es keine Sicherheitspatches mehr gibt, und können keinen modernen Endpoint-Agenten ausführen, ohne die Produktion zu destabilisieren. Ein Patch- oder Virenschutz-basierter Ansatz nach CIR Abschnitt 6.6/6.9 scheidet für solche Geräte faktisch aus – die Netzwerkebene wird dadurch zur einzigen wirksamen kompensierenden Kontrolle. Praktisch bedeutet das: eine physisch oder durch eine dedizierte Firewall getrennte OT-Zone, in der Geräte nur mit denjenigen Systemen kommunizieren dürfen, die für den Produktionsprozess zwingend erforderlich sind – und keine direkte Route zum Büronetz oder Internet.

Netzwerksicherheit und Zugangssteuerung gehören zusammen

Segmentierung ohne Zugangskontrolle an den Zonengrenzen ist nur die halbe Maßnahme. § 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte für Personalsicherheit, Zugriffskontrolle und die Verwaltung von IKT-Systemen – die praktische Umsetzung dieser Pflicht behandelt unser Leitfaden zur NIS2-Zugangssteuerung im Detail, inklusive rollenbasierter Rechtevergabe und Multi-Faktor-Authentifizierung an kritischen Übergängen.

Nachweis für die Aufsichtsbehörde

Da § 30 BSIG keine Technologie vorschreibt, entscheidet im Zweifel die Dokumentation, ob eine Maßnahme als angemessen gilt. Für eine Prüfung sollten mindestens folgende Nachweise vorliegen: ein aktuelles Netzwerkdiagramm mit Zonengrenzen, die Risikobewertung, die den Zonenzuschnitt begründet, die dokumentierten Firewall-Regeln zwischen den Zonen sowie ein Protokoll der letzten Segmentierungsüberprüfung. Das BSI betont in seiner eigenen Übersicht zu den Risikomanagementmaßnahmen, dass die Verhältnismäßigkeit der Maßnahmen von Einrichtungstyp und Risikoexposition abhängt [8] – ein kleiner Betrieb muss also nicht das CIR-Vollprogramm nachweisen, aber eine nachvollziehbare Begründung für die gewählte Architektur. Bei einer Ex-ante-Prüfung besonders wichtiger Einrichtungen nach Art. 32 kann diese Dokumentation ohne konkreten Anlass angefordert werden [10]; wichtige Einrichtungen werden nach Art. 33 nur ex post geprüft, also erst nach einem Hinweis auf mögliche Verstöße [10] – ein Grund mehr, die Nachweise nicht erst bei einer Anfrage zusammenzustellen.

Häufig gestellte Fragen

Muss ich Abschnitt 6.7/6.8 der CIR umsetzen, wenn ich kein Cloud- oder DNS-Anbieter bin?
Rechtlich nicht direkt gebunden. Die Abschnitte binden nur die in der CIR aufgezählten Kategorien digitaler Infrastruktur- und Diensteanbieter [6]. Ihre eigene Pflicht folgt aus Art. 21(2)(e) bzw. § 30 Abs. 2 Nr. 5 BSIG, die dieselbe Zielrichtung, aber keine feste Technologievorgabe hat.

Reicht Mikrosegmentierung allein aus, um § 30 BSIG zu erfüllen?
Segmentierung ist ein zentraler Baustein, aber nur ein Teil von zehn Maßnahmenbereichen nach § 30 Abs. 2 BSIG. Ohne Risikoanalyse, Vorfallbehandlung und Zugriffskontrolle bleibt sie eine Einzelmaßnahme statt eines vollständigen Risikomanagementsystems.

Wie oft muss die Segmentierung überprüft werden?
Die CIR verlangt für gebundene Anbieter eine Überprüfung "in geplanten Zeitabständen" sowie zusätzlich nach wesentlichen Sicherheitsvorfällen oder Betriebsänderungen [5] – ein fester Kalenderzyklus (z. B. jährlich) plus anlassbezogene Nachprüfung ist die gebräuchlichste Auslegung.

Was kostet Netzwerksegmentierung realistisch für ein KMU?
Die größten Kosten entstehen selten durch neue Hardware, sondern durch den Personalaufwand für Inventarisierung und die schrittweise Einführung von Firewall-Regeln ohne Betriebsunterbrechung. Ein realistischer Zeitrahmen für ein grundlegendes Zonenkonzept liegt bei mehreren Wochen bis wenigen Monaten, abhängig von der bestehenden Netzwerkkomplexität.

Was unterscheidet eine DMZ von einer normalen Netzwerkzone?
Eine demilitarisierte Zone (DMZ) ist speziell für Systeme gedacht, die von außen erreichbar sein müssen – etwa ein Mailserver oder ein öffentliches Webportal. Sie liegt zwischen Internet und internem Netz, mit eigenen, restriktiveren Firewall-Regeln in beide Richtungen, damit ein kompromittierter DMZ-Dienst keinen direkten Sprung ins interne Netz erlaubt. Interne Zonen (Produktion, Büro, Verwaltung) haben dagegen keinen direkten Internetzugang und dienen der Trennung nach Kritikalität, nicht nach Erreichbarkeit von außen.

Dieser Artikel bietet ausschließlich allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Rechtsraum und Unternehmensart variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Rechts- oder Compliance-Fachkraft.

Quellen

• [1] Artikel 21, NIS2-Richtlinie (EU) 2022/2555
• [2] § 30 BSIG – gesetze-im-internet.de
• [3] CIR 2024/2690, Anhang Abschnitt 6.7 – Netzsicherheit
• [4] CIR 2024/2690, Anhang 1 – Gesamtstruktur Abschnitt 6 (Advisera)
• [5] CIR 2024/2690, Anhang Abschnitt 6.8 – Netzsegmentierung
• [6] CIR 2024/2690 – Anwendungsbereich digitale Infrastruktur (Advisera)
• [7] ENISA Technical Implementation Guidance (Juni 2025)
• [8] BSI – NIS-2 Risikomanagementmaßnahmen
• [9] Zero Networks 2026 Lateral Movement Exposure Report, via IT-Daily.net
• [10] Artikel 32 und 33, NIS2-Richtlinie (Aufsichtsrahmen)