NIS2 vs. IT-Grundschutz: 111 Bausteine auf § 30 BSIG gemappt — und vier Pflichten, die keiner abdeckt

Das Bundesamt für Sicherheit in der Informationstechnik beantwortet die Frage, um die es hier geht, in seinem eigenen NIS-2-FAQ mit einem Wort: Nein. „Nein, der BSI-IT-Grundschutz ist im Rahmen der NIS-2-Umsetzung nicht für alle verpflichtend“ [6]. Damit ist der wichtigste Irrtum dieses Themas ausgeräumt — und die eigentlich nützliche Frage beginnt erst: Wenn IT-Grundschutz nicht vorgeschrieben ist, wie weit trägt er dann bei der Umsetzung von § 30 BSIG, und wo hört er auf?

Dieser Beitrag beantwortet das mit einer Mapping-Tabelle der zehn Maßnahmen aus § 30 Absatz 2 BSIG auf konkrete IT-Grundschutz-Bausteine, mit vier gesetzlichen Pflichten, die kein Baustein abdecken kann, und mit einer Einordnung, die 2026 über die Investitionsentscheidung mitentscheidet: Das IT-Grundschutz-Kompendium bekommt keine neue Textedition mehr, und der Nachfolger Grundschutz++ ist erst ab dem 1. Januar 2027 zertifizierbar [8]. Was Artikel 21 beziehungsweise § 30 inhaltlich verlangt, entfaltet unser Leitfaden zu den NIS2-Anforderungen; hier geht es ausschließlich um das Verhältnis zum IT-Grundschutz.

Die kurze Antwort: solide Grundlage, kein Freifahrtschein

Rechtlich prüfbar ist nicht, welchem Standard Sie folgen, sondern welches Ergebnis Sie erreichen. § 30 Absatz 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ und nennt als Maßstab die Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen [1]. Kein Absatz dieser Norm nennt IT-Grundschutz, ISO 27001 oder irgendeinen anderen Standard als Pflichtweg.

Das BSI formuliert die Rolle des eigenen Frameworks entsprechend zurückhaltend. Bestehende Managementsysteme auf Basis des IT-Grundschutzes „können eine wertvolle Grundlage für betroffene Einrichtungen sein, müssen aber im Hinblick auf den gesetzlich vorgegebenen Maßnahmenkatalog geprüft und gegebenenfalls ergänzt werden“ [6]. Und noch deutlicher zur Zertifizierung: „Eine Unternehmenszertifizierung alleine ist nicht ausreichend, um sämtliche Anforderungen des BSIG zu erfüllen, kann aber ein Baustein für die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG sein“ [6].

Beachten Sie die Modalverben: kann, nicht erfüllt. Wer ein IT-Grundschutz-Zertifikat als Nachweis von NIS2-Konformität verkauft oder einkauft, überdehnt eine Aussage, die das BSI selbst nicht trifft. Der praktische Wert liegt woanders — und er ist erheblich: IT-Grundschutz liefert für die meisten der zehn Maßnahmen bereits ausformulierte, prüfbare Anforderungen, statt dass Sie sie aus dem Gesetzestext selbst ableiten müssen.

Eine zweite Einschränkung wird selten erwähnt: § 30 Absatz 3 und 4 BSIG räumen den Durchführungsrechtsakten der EU-Kommission nach Artikel 21 der NIS-2-Richtlinie Vorrang ein [1]. Für die davon erfassten Anbietertypen — unter anderem DNS-Dienste, Cloud-Computing, Rechenzentren, verwaltete Dienste und Online-Marktplätze — ist die Durchführungsverordnung (EU) 2024/2690 der maßgebliche Maßnahmenkatalog, nicht die zehn Nummern des § 30 Absatz 2 [15]. Ein IT-Grundschutz-Verbund adressiert diese Verordnung nicht unmittelbar; das Mapping unten hilft dort nur mittelbar.

Wie IT-Grundschutz aufgebaut ist — und warum die Struktur passt

IT-Grundschutz besteht aus zwei Teilen, die oft verwechselt werden. Die BSI-Standards der 200er-Reihe beschreiben die Methodik, das IT-Grundschutz-Kompendium die inhaltlichen Anforderungen.

Der BSI-Standard 200-1 definiert die allgemeinen Anforderungen an ein ISMS und ist nach Angabe des BSI „kompatibel zum ISO-Standard 27001″. Der 200-2 trägt die Vorgehensweise und kennt drei Ausbaustufen — Basis-, Kern- und Standard-Absicherung. Der 200-3 bündelt die risikobezogenen Arbeitsschritte, der 200-4 leitet den Aufbau eines Business-Continuity-Management-Systems an [10]. Diese Vierteilung ist für NIS2 günstig, weil sie sich fast deckungsgleich auf die Pflichtenstruktur des BSIG legen lässt: Managementsystem, Risikoanalyse, Betriebsaufrechterhaltung.

Das Kompendium ordnet seine Anforderungen in zehn Schichten — fünf Prozess- und fünf System-Schichten [9]:

Art	Kürzel	Schicht
Prozess-Bausteine	ISMS	Sicherheitsmanagement
	ORP	Organisation und Personal
	CON	Konzeption und Vorgehensweisen
	OPS	Betrieb
	DER	Detektion und Reaktion
System-Bausteine	APP	Anwendungen
	SYS	IT-Systeme
	IND	Industrielle IT
	NET	Netze und Kommunikation
	INF	Infrastruktur

Die Edition 2023 des Kompendiums enthält 111 Bausteine und ist seit dem 1. Februar 2023 in Kraft; damals kamen zehn Bausteine neu hinzu, 21 wurden inhaltlich überarbeitet [11]. Jeder Baustein unterscheidet Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf. Genau diese Abstufung ist der Grund, warum sich IT-Grundschutz gut mit dem Verhältnismäßigkeitsgebot des § 30 Absatz 1 verträgt: Sie können den Umfang begründet an der Risikoexposition ausrichten, statt pauschal alles umzusetzen.

Mapping: Die zehn Maßnahmen des § 30 auf IT-Grundschutz-Bausteine

Das BSI veröffentlicht keine offizielle Zuordnungstabelle zwischen § 30 Absatz 2 BSIG und den Bausteinen des Kompendiums. Die folgende Zuordnung ist deshalb unsere eigene Synthese aus dem Gesetzeswortlaut [1] und der Baustein-Systematik [9][11] — belastbar als Arbeitsgrundlage, aber kein amtliches Mapping. Beachten Sie das, bevor Sie die Tabelle in ein Auditdokument übernehmen.

§ 30 Abs. 2	Maßnahme	Bausteine / Standards	Was danach noch offen bleibt
Nr. 1	Risikoanalyse und Konzepte für die Sicherheit in der Informationstechnik	ISMS.1, ORP.1, BSI-Standard 200-3	Nachvollziehbare Begründung der Verhältnismäßigkeit nach § 30 Abs. 1 — Grundschutz liefert die Methode, nicht die Begründung
Nr. 2	Bewältigung von Sicherheitsvorfällen	DER.2.1, DER.2.2, DER.2.3	Die gesetzlichen Meldefristen aus § 32 (24 h / 72 h / 1 Monat)
Nr. 3	Aufrechterhaltung des Betriebs (Backup, Wiederherstellung, Krisenmanagement)	CON.3, DER.4, BSI-Standard 200-4	Weitgehend abgedeckt; Krisenkommunikation nach außen ist im Standard schwächer ausgeprägt
Nr. 4	Sicherheit der Lieferkette	OPS.2.3, OPS.3.2	Vertragliche Durchgriffsrechte und die Bewertung der spezifischen Schwachstellen je Direktlieferant
Nr. 5	Sicherheit bei Erwerb, Entwicklung und Wartung	CON.8, OPS.1.1.3, OPS.1.1.6	Schwachstellenoffenlegung gegenüber Dritten
Nr. 6	Bewertung der Wirksamkeit der Risikomanagementmaßnahmen	DER.1, DER.3.1	Der gesetzliche Nachweisweg nach § 39 — siehe unten
Nr. 7	Schulungen und Cyberhygiene	ORP.3	Die gesonderte Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3
Nr. 8	Kryptografie und Verschlüsselung	CON.1 in Verbindung mit TR-02102	Weitgehend abgedeckt — TR-02102 ist konkreter als der Gesetzestext
Nr. 9	Personalsicherheit, Zugriffskontrolle, Verwaltung von Anlagen	ORP.2, ORP.4, CON.2	Weitgehend abgedeckt
Nr. 10	Multi-Faktor-Authentifizierung, gesicherte Kommunikation, Notfallkommunikation	ORP.4, NET.1.1, NET.3.3	Gesicherte Notfallkommunikation als eigenständige, vom Regelbetrieb unabhängige Fähigkeit

Zwei Muster fallen auf. Erstens: Für die Nummern 3, 8 und 9 ist der IT-Grundschutz präziser als das Gesetz. § 30 Absatz 2 Nummer 8 sagt lediglich „Kryptografie und Verschlüsselung“; CON.1 und die TR-02102 sagen, mit welchen Verfahren und Schlüssellängen. Wer diesen Bausteinen folgt, erfüllt die gesetzliche Anforderung nicht nur, er kann sie auch belegen.

Zweitens: Alle verbleibenden Lücken liegen in derselben Richtung. Sie betreffen das Verhältnis der Einrichtung zur Aufsichtsbehörde und zur Unternehmensleitung — Fristen, Meldungen, Verantwortlichkeiten. Das ist keine Schwäche des IT-Grundschutzes, sondern eine Zuständigkeitsgrenze: Ein Informationssicherheitsstandard kann keine Meldefrist gegenüber einer Behörde setzen. Das kann nur ein Gesetz.

Kryptografie: Wo IT-Grundschutz an die TR-02102 übergibt

Die Nummer 8 verdient einen eigenen Blick, weil sie zeigt, wie die BSI-Werke ineinandergreifen. Der Baustein CON.1 (Kryptokonzept) verlangt ein dokumentiertes Konzept — welche Daten wo verschlüsselt werden, wer Schlüssel erzeugt, wie sie hinterlegt und vernichtet werden. Welche Algorithmen dabei zulässig sind, entscheidet CON.1 nicht selbst, sondern delegiert es ausdrücklich: „Für die Auswahl von Verschlüsselungsverfahren und Schlüssellängen sollte die technische Richtlinie ‚BSI-TR-02102: Kryptographische Verfahren: Empfehlungen und Schlüssellängen‘ des BSI beachtet werden“ [16].

Die TR-02102 besteht aus vier Teilen, die im Januar 2026 sämtlich auf die Version 2026-01 aktualisiert wurden: Teil 1 zu allgemeinen Verfahren und Schlüssellängen, Teil 2 zu TLS, Teil 3 zu IPsec und IKEv2, Teil 4 zu SSH [13]. Für die Praxis heißt das: Die Frage „Ist AES-128 noch zulässig?“ beantwortet nicht das BSIG und nicht das Kompendium, sondern die TR-02102-1. Welche Algorithmen dort konkret empfohlen werden und was Prüfer beim Schlüsselmanagement kontrollieren, behandelt unser Beitrag zu den Verschlüsselungsanforderungen nach Artikel 21(2)(h) im Detail.

Die vier NIS2-Pflichten, die kein Baustein abdeckt

Diese vier Pflichten bleiben auch nach einer vollständigen Umsetzung des IT-Grundschutzes offen. Sie sind der Grund, warum das BSI schreibt, eine Zertifizierung allein reiche nicht aus [6].

Pflicht	Norm	Frist	Warum kein Standard das leisten kann
Registrierung beim BSI	§ 33 BSIG [3]	Spätestens drei Monate, nachdem die Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt; Änderungen binnen zwei Wochen	Ein Sicherheitsstandard regelt interne Prozesse, nicht die Anmeldung bei einer Behörde. Fünf Pflichtangaben sind zu übermitteln, darunter die öffentlichen IP-Bereiche
Meldung erheblicher Sicherheitsvorfälle	§ 32 BSIG [2]	Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung; Folgemeldung 72 Stunden; Abschlussmeldung ein Monat	DER.2.1 beschreibt die interne Vorfallbehandlung. Die Adressierung an die gemeinsame Meldestelle von BSI und BBK und die Uhr, die mit der Kenntniserlangung zu laufen beginnt, stehen ausschließlich im Gesetz
Billigung und Überwachung durch die Geschäftsleitung	§ 38 Abs. 1 und 2 BSIG [4]	Dauerpflicht	Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie das schuldhaft, haftet sie ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform — das BSIG greift nur subsidiär
Schulung der Geschäftsleitung	§ 38 Abs. 3 BSIG [4]	Regelmäßig	ORP.3 adressiert Sensibilisierung und Schulung der Belegschaft. § 38 Abs. 3 verlangt gesondert, dass die Geschäftsleitung selbst Kenntnisse zur Erkennung und Bewertung von Risiken erwirbt

Für Geschäftsführerinnen und Vorstände ist vor allem die dritte Zeile relevant, und sie wird regelmäßig falsch wiedergegeben. § 38 Absatz 2 BSIG schafft keine eigenständige, schärfere Haftung neben dem Gesellschaftsrecht. Er verweist zuerst auf die gesellschaftsrechtlichen Regelungen der jeweiligen Organisationsform und greift nur, „wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten“ [4]. Für eine GmbH ändert sich der Haftungsmaßstab damit im Grundsatz nicht — wohl aber die Pflicht, an der gemessen wird, und die ist jetzt gesetzlich benannt. Was der Wortlaut des § 38 im Einzelnen verlangt — und welche drei verbreiteten Behauptungen dazu nicht zutreffen — behandelt unser Beitrag zur Haftung der Geschäftsleitung nach § 38 BSIG.

Zertifikat und Nachweis: Was § 39 wirklich verlangt

Hier trennen sich die Wege je nach Einrichtungstyp deutlicher, als die meisten Darstellungen erkennen lassen. Eine turnusmäßige Nachweispflicht gegenüber dem BSI trifft nach § 39 BSIG allein Betreiber kritischer Anlagen. Der Erstnachweis ist frühestens drei Jahre nach der erstmaligen Qualifikation fällig, danach alle drei Jahre. Als zulässige Nachweisformen nennt die Norm ausdrücklich „Sicherheitsaudits, Prüfungen oder Zertifizierungen“ [5].

Daraus folgt eine Zweiteilung, die für die Budgetentscheidung wichtiger ist als jede Mapping-Tabelle:

• Betreiber kritischer Anlagen: Ein IT-Grundschutz-Zertifikat ist hier nicht nur nützlich, es fällt unmittelbar unter eine der drei im Gesetz genannten Nachweisformen. Die Investition zahlt auf eine konkrete, terminierte Pflicht ein.
• Alle übrigen besonders wichtigen und wichtigen Einrichtungen: Es gibt keinen Dreijahresturnus und keine Vorlagepflicht ohne Anlass. Ein Zertifikat wirkt hier nicht als Nachweiserfüllung, sondern als Beweismittel — falls das Bundesamt aufsichtsrechtlich tätig wird. Das ist ein realer Wert, aber ein anderer.

Für die zweite Gruppe lautet die ehrliche Rechnung deshalb: Ein Zertifizierungsprojekt kaufen Sie nicht, um eine Frist zu erfüllen, sondern um im Ernstfall dokumentiert zu sein. Wer dieses Motiv nicht hat — etwa ein Mittelständler mit überschaubarer Risikoexposition — kann denselben Zweck mit einem sauber dokumentierten Grundschutz-Check ohne Zertifikat erreichen und die Auditkosten sparen. Das BSI widerspricht dem nicht: Es nennt die Zertifizierung als etwas, das den Nachweis „erleichtern“ kann [6], nicht als Voraussetzung.

Die Zeitfrage 2026/2027: Kompendium, Grundschutz++ und was Sie jetzt tun

Wer 2026 in IT-Grundschutz investiert, investiert in ein Framework im Umbau — und das wird in den meisten Darstellungen entweder verschwiegen oder mit falschen Daten wiedergegeben. Das BSI ersetzt das textbasierte Kompendium durch ein digitales, maschinenlesbares Regelwerk. Der Nachfolger heißt Grundschutz++ und ist „vollständig prozessorientiert aufgebaut. Jede Anforderung an die Cybersicherheit wird als Regel in einem standardisierten Format erfasst“ [8]. Die neue „Stand der Technik-Bibliothek“ löst das Kompendium ab [8].

Der Meilensteinplan des BSI nennt vier Daten [8]:

Datum	Meilenstein
1. April 2026	Start der Pilotierungsphase
30. September 2026	Ende der Pilotierungsphase
27. Oktober 2026	Vorstellung auf der it-sa 2026 in Nürnberg
1. Januar 2027	Grundschutz++ ist zertifizierbar

Prüfen Sie diese Daten gegen das, was Sie sonst lesen: Mehrere Fachbeiträge datieren den Start von Grundschutz++ auf den 1. Januar 2026. Das steht im Widerspruch zum Meilensteinplan des BSI, nach dem an diesem Tag nicht einmal die Pilotierung begonnen hatte. Wer auf Basis der falschen Jahreszahl plant, verschiebt ein Zertifizierungsprojekt um zwölf Monate ins Leere.

Die praktische Konsequenz ist unspektakulär und beruhigend: Das Kompendium Edition 2023 bleibt die zertifizierungsrelevante Grundlage, und das BSI hält den bisherigen IT-Grundschutz während einer mehrjährigen Übergangsphase parallel anwendbar [7]. Ein 2026 begonnenes Projekt nach Edition 2023 ist deshalb keine Fehlinvestition — die inhaltlichen Anforderungen wandern in das neue Regelwerk, die Form ändert sich. Die NIS2-Pflichten laufen ohnehin bereits: Das BSIG gilt, die Registrierungspflicht nach § 33 ist scharf. Auf Grundschutz++ zu warten, bedeutet nicht, auf die Pflichten zu warten.

Welcher Weg für welche Rolle?

Die drei Vorgehensweisen des BSI-Standards 200-2 [10] lassen sich sinnvoll an der Verhältnismäßigkeitsprüfung des § 30 Absatz 1 ausrichten. Diese Zuordnung ist eine Praxisempfehlung, keine gesetzliche Vorgabe:

Vorgehensweise	Passt zu	Aufwand
Basis-Absicherung	Wichtige Einrichtung, moderate Risikoexposition, bisher kein ISMS — schnelle Breitenwirkung über alle Bausteine	Niedrig bis mittel
Kern-Absicherung	Einrichtungen mit wenigen, klar identifizierbaren „Kronjuwelen“ — Schutz zuerst dort, wo der Ausfall die Dienstleistung trifft	Mittel
Standard-Absicherung	Besonders wichtige Einrichtungen und Betreiber kritischer Anlagen mit Nachweispflicht nach § 39 — in der Praxis der übliche Weg zu einer Zertifizierung über den gesamten Informationsverbund	Hoch

Was daraus je nach Rolle folgt:

• CISO / IT-Sicherheitsverantwortliche: Beginnen Sie nicht bei den Bausteinen, sondern bei der Mapping-Tabelle oben. Führen Sie einen Ist-Soll-Abgleich je § 30-Nummer und dokumentieren Sie die Zuordnung — genau diese Zuordnung ist es, die eine Aufsichtsprüfung sehen will, nicht der Baustein-Katalog.
• Geschäftsführung im Mittelstand: Ihre beiden persönlichen Pflichten aus § 38 stehen in keinem Baustein. Setzen Sie die eigene Schulung und einen dokumentierten Billigungsbeschluss zu den Risikomanagementmaßnahmen an den Anfang — beides ist in Tagen erledigt, während das ISMS Monate braucht.
• Compliance und Recht: Klären Sie zuerst, ob die Einrichtung Betreiber einer kritischen Anlage ist. Diese eine Frage entscheidet, ob § 39 einen Dreijahresturnus auslöst — und damit über die Frage, ob sich ein Zertifizierungsprojekt rechnet.

Häufig gestellte Fragen

Ist IT-Grundschutz für NIS2 verpflichtend?
Nein. Das BSI schreibt dazu wörtlich: „Nein, der BSI-IT-Grundschutz ist im Rahmen der NIS-2-Umsetzung nicht für alle verpflichtend“ [6]. Maßstab ist § 30 Absatz 1 BSIG — geeignet, verhältnismäßig und wirksam —, nicht ein bestimmter Standard.

Erfüllt ein IT-Grundschutz-Zertifikat die NIS2-Anforderungen?
Nein, nicht vollständig. Es kann den Nachweis nach Aussage des BSI „erleichtern“, muss aber am gesetzlichen Maßnahmenkatalog geprüft und gegebenenfalls ergänzt werden; eine Unternehmenszertifizierung allein ist „nicht ausreichend“ [6]. Registrierung, Meldefristen und die Geschäftsleitungspflichten bleiben in jedem Fall offen.

IT-Grundschutz oder ISO 27001 — was ist für NIS2 besser?
Beide sind zulässig, und der BSI-Standard 200-1 ist nach Angabe des BSI „kompatibel zum ISO-Standard 27001″ [10]. IT-Grundschutz ist konkreter, weil er fertige Maßnahmen mitliefert; ISO 27001 ist international anschlussfähiger. Die Abwägung im Detail nehmen wir im Vergleich NIS2 vs. ISO 27001 vor.

Sollte ich mit dem Projekt auf Grundschutz++ warten?
Nein. Grundschutz++ ist erst ab dem 1. Januar 2027 zertifizierbar [8], während die BSIG-Pflichten bereits laufen. Das Kompendium Edition 2023 bleibt während einer mehrjährigen Übergangsphase anwendbar [7].

Wie viele Bausteine hat das IT-Grundschutz-Kompendium?
Die Edition 2023 enthält 111 Bausteine in zehn Schichten [11][9]. Sie ist seit dem 1. Februar 2023 in Kraft.

Rechtlicher Hinweis

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechts- oder Complianceberatung dar. Anforderungen können je nach Rechtsordnung, Sektor und Unternehmensart abweichen. Die Zuordnung von § 30-Maßnahmen zu IT-Grundschutz-Bausteinen ist eine redaktionelle Einschätzung und kein amtliches Mapping des BSI. Für eine auf Ihre Situation bezogene Bewertung ziehen Sie bitte eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft hinzu.

Quellen

1. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen, gesetze-im-internet.de
2. § 32 BSIG — Meldepflichten, gesetze-im-internet.de
3. § 33 BSIG — Registrierungspflicht, gesetze-im-internet.de
4. § 38 BSIG — Pflichten der Geschäftsleitungen, gesetze-im-internet.de
5. § 39 BSIG — Nachweispflichten für Betreiber kritischer Anlagen, gesetze-im-internet.de
6. Bundesamt für Sicherheit in der Informationstechnik: Fragen und Antworten zu NIS-2 (allgemein)
7. BSI: IT-Grundschutz — Übersicht und Übergangsphase
8. BSI: Grundschutz++ — Konzept und Meilensteinplan
9. BSI: Online-Kurs IT-Grundschutz, Lerneinheit 5.2: Das Schichtenmodell
10. BSI: BSI-Standards 200-1 bis 200-4
11. BSI: IT-Grundschutz-Kompendium Edition 2023 erschienen, 1. Februar 2023
12. BSI: IT-Grundschutz-Kompendium — Werkzeug für Informationssicherheit
13. BSI: Technische Richtlinie BSI TR-02102 — Kryptographische Verfahren (Teile 1–4, Version 2026-01)
14. OpenKRITIS: NIS2-Mapping auf KRITIS und ISO 27001
15. Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 1, EUR-Lex
16. BSI: IT-Grundschutz-Kompendium, Edition 2023 (PDF) — Baustein-Verzeichnis und CON.1 Kryptokonzept