NIST, CISA, KRITIS, NIS2 und Zero Trust – wie gehören diese Bausteine der Cyber Security zusammen?
Hintergrund
In Diskussionen über Cyber Security begegnen uns immer wieder dieselben Begriffe: NIST, CISA, KRITIS, NIS2 und Zero Trust.
Doch welche Rolle spielen diese Institutionen, Regelwerke und Konzepte tatsächlich? Und wie lassen sie sich in eine gemeinsame Sicherheitsstrategie einordnen?
Ein Blick auf die Zusammenhänge lohnt sich.
NIST – technische Standards und Architekturleitlinien
Das National Institute of Standards and Technology (NIST) ist eine US-Bundesbehörde im Geschäftsbereich des US-Handelsministeriums.
NIST entwickelt international beachtete Standards, Referenzmodelle und technische Leitlinien. Im Bereich Cyber Security sind insbesondere relevant:
- NIST Cybersecurity Framework (CSF 2.0):Rahmenwerk zur systematischen Steuerung von Cybersecurity-Risiken.
- NIST SP 800-53:Katalog von Sicherheits- und Datenschutzkontrollen.
- NIST SP 800-63:Leitlinien für digitale Identitäten und Authentifizierung.
- NIST SP 800-207:Referenzarchitektur und Grundprinzipien für Zero Trust.
NIST ist dabei kein Gesetzgeber. Die Veröffentlichungen sind Orientierung und technische Grundlage – sie werden erst durch entsprechende Vorgaben, Verträge oder regulatorische Bezugnahmen verbindlich.
CISA – operative Orientierung und Reifegradmodelle
Die Cybersecurity and Infrastructure Security Agency (CISA) ist eine US-Bundesbehörde mit Schwerpunkt auf dem Schutz kritischer Infrastrukturen und der operativen Cyberabwehr.
Für Zero Trust ist insbesondere das CISA Zero Trust Maturity Model (ZTMM) relevant.
Es beschreibt fünf zentrale Säulen:
- Identity
Menschen, Maschinen und andere Identitäten eindeutig erkennen und ihre Zugriffe kontrollieren. - Devices
Sicherheitszustand und Vertrauenswürdigkeit der zugreifenden Geräte bewerten. - Networks
Kommunikation kontrollieren, segmentieren und absichern. - Applications & Workloads
Anwendungen, Services und technische Workloads schützen. - Data
Daten abhängig von Schutzbedarf, Klassifizierung und Zugriffskontext absichern.
Ergänzt werden diese durch drei übergreifende Fähigkeiten:
- Visibility & Analytics – Transparenz und Risikoanalyse
- Automation & Orchestration – Automatisierte Sicherheitsreaktionen
- Governance – Richtlinien und Verantwortlichkeiten
Das Modell unterscheidet vier Reifegrade – von Traditional über Initial und Advanced bis Optimal.
Damit bietet CISA Unternehmen eine strukturierte Möglichkeit, den eigenen Sicherheitsreifegrad zu bewerten und Entwicklungsschritte abzuleiten.
Die Einordnung: NIST liefert wesentliche Architekturprinzipien und technische Leitlinien. CISA ergänzt diese durch ein praxisorientiertes Reifegradmodell. Beide sind wichtige Referenzen, aber keine europäischen oder deutschen Gesetzgeber.
KRITIS und NIS2 – regulatorische Anforderungen
Mit der NIS2-Richtlinie (EU 2022/2555) hat die Europäische Union die Anforderungen an die Cybersicherheit deutlich ausgeweitet.
In Deutschland wurde die Richtlinie durch das novellierte BSI-Gesetz (BSIG) umgesetzt. Die Regelungen gelten seit dem 6. Dezember 2025.
Betroffen sind – abhängig von Sektor, Tätigkeit, Größe und weiteren gesetzlichen Kriterien – besonders wichtige und wichtige Einrichtungen.
Das BSIG verpflichtet diese Einrichtungen nach § 30 zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Risikomanagementmaßnahmen.
Dazu gehören unter anderem:
- Risikoanalyse und Informationssicherheitskonzepte
- Behandlung von Sicherheitsvorfällen
- Business Continuity, Backup und Wiederherstellung
- Sicherheit der Lieferkette
- Absicherung von Entwicklung, Wartung und Schwachstellenmanagement
- Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
- Schulung und Sensibilisierung
- Kryptografie und Verschlüsselung
- Zugriffskontrolle und Asset Management
- Multi-Faktor- oder kontinuierliche Authentifizierung
Besonders relevant ist § 38 BSIG: Die Geschäftsleitungen wichtiger und besonders wichtiger (kritischer) Einrichtungen müssen die Risikomanagementmaßnahmen umsetzen und diese überwachen. Hinzu kommen regelmäßige Schulungspflichten.
Für Betreiber kritischer Anlagen gelten darüber hinausgehende Anforderungen nach § 31 BSIG, unter anderem zum Einsatz von Systemen zur Angriffserkennung.
Wichtig ist die begriffliche Unterscheidung: KRITIS bezeichnet kritische Infrastrukturen beziehungsweise die entsprechenden Betreiber und Anlagen. NIS2 regelt einen erweiterten Kreis wichtiger und besonders wichtiger Einrichtungen. Die Anwendungsbereiche überschneiden sich, sind aber nicht identisch.
Ergänzend ist das seit dem 17. März 2026 geltende KRITIS-Dachgesetz zu betrachten. Es stärkt insbesondere die physische Resilienz (Widerstandsfähigkeit/Robustheit) kritischer Anlagen. Cyberresilienz nach BSIG und physische Resilienz sind unterschiedliche, sich ergänzende Perspektiven.
Zero Trust – der architektonische Umsetzungsansatz
Was bedeutet das für die IT-Architektur?
Klassische Sicherheitsmodelle haben häufig auf klar abgegrenzte Netzwerkperimeter gesetzt. Diese Grenzen verlieren durch Cloud, hybride Infrastrukturen, mobile Arbeitsplätze, externe Dienstleister und verteilte Anwendungen zunehmend an Bedeutung.
Zero Trust setzt deshalb an einer anderen Stelle an:
Kein Benutzer, Gerät, System oder Dienst erhält allein aufgrund seiner Netzwerkposition oder bisherigen Authentifizierung implizites Vertrauen.
Zugriffe auf Ressourcen müssen explizit authentifiziert, autorisiert und anhand geeigneter Kontextinformationen bewertet werden.
Das bedeutet in der Praxis unter anderem:
- Identitäten eindeutig verwalten und überprüfen
- Zugriffsrechte nach dem Least-Privilege-Prinzip vergeben
- Geräte und deren Sicherheitszustand berücksichtigen
- Anwendungen, Workloads und Daten gezielt schützen
- Zugriffe und Aktivitäten kontinuierlich überwachen
- Sicherheitsrichtlinien automatisiert und konsistent durchsetzen
Zero Trust ist dabei weder ein einzelnes Produkt noch eine zusätzliche Firewall. Es ist ein übergreifendes Architektur- und Sicherheitsprinzip.
Und es ist wichtig festzuhalten: NIS2 schreibt keine konkrete Zero-Trust-Architektur vor. Zero Trust kann jedoch ein geeigneter Ansatz sein, um verschiedene regulatorische Sicherheitsanforderungen systematisch umzusetzen.
Wo ordnet sich Identity Governance ein?
Eine zentrale Voraussetzung für wirksame Zugriffskontrolle ist die Transparenz über Identitäten und Berechtigungen.
Dabei geht es längst nicht mehr nur um menschliche Benutzer. Service Accounts, technische Identitäten, APIs, Maschinen und zunehmend auch autonome KI-Agenten greifen auf Unternehmensressourcen zu.
Identity Governance & Administration (IGA) unterstützt unter anderem:
- den geregelten Lebenszyklus von Identitäten
- die Zuordnung von Verantwortlichkeiten und Berechtigungen
- Rollen- und Rechtekonzepte
- Rezertifizierungen und regelmäßige Zugriffskontrollen
- die Erkennung übermäßiger oder nicht mehr benötigter Berechtigungen
- die Nachvollziehbarkeit von Zugriffsentscheidungen
IGA ist damit ein wichtiger Baustein einer Zero-Trust-Strategie. Es ersetzt jedoch weder die technische Durchsetzung von Zugriffskontrollen noch PAM, MFA, Netzwerksegmentierung oder Monitoring.
Fazit: Aus Regelwerken muss eine belastbare Sicherheitsarchitektur werden
Die verschiedenen Ansätze lassen sich wie folgt einordnen:
- NIST:Technische Standards und Architekturleitlinien
- CISA:Reifegradmodelle und operative Orientierung
- KRITIS / NIS2 / BSIG:Regulatorische Anforderungen und Pflichten
- Zero Trust:Architekturprinzip für eine konsequente, kontextbezogene Zugriffskontrolle
- IGA:Governance von Identitäten und Berechtigungen als wesentlicher Bestandteil der Identity Security
Die eigentliche Herausforderung liegt nicht darin, einzelne Regelwerke formal zu erfüllen oder möglichst viele Security-Produkte einzuführen.
Entscheidend ist, daraus eine konsistente, überprüfbare und dauerhaft wirksame Sicherheitsarchitektur zu entwickeln.
Drei Thesen zur Diskussion
- Compliance ist nicht gleich Cyber Security. Ein erfüllter Anforderungskatalog garantiert noch keine wirksame Sicherheitsarchitektur.
- Zero Trust sollte nicht als Produktinitiative verstanden werden, sondern als langfristige Transformation von Architektur, Prozessen und Governance.
- Identity wird zunehmend zur zentralen Sicherheitsgrenze – nicht nur für Menschen, sondern auch für technische Identitäten und autonome KI-Agenten.
Wie beurteilen wir die Entwicklung?
Sind NIS2 und KRITIS für Unternehmen eher regulatorischer Handlungsdruck – oder der notwendige Impuls, historisch gewachsene Sicherheitsarchitekturen grundlegend zu modernisieren?
#CyberSecurity #NIS2 #KRITIS #ZeroTrust #NIST #CISA #IdentityGovernance #IGA #ITGovernance #CyberResilience