NIS-2 — was KMU wissen müssen

Was NIS-2 regelt

NIS-2 ersetzt nicht die DSGVO. Während die DSGVO personenbezogene Daten schützt, adressiert NIS-2 die Sicherheit netz- und informationstechnischer Systeme in definierten Sektoren und kritischen Lieferketten. Beide Regelwerke teilen viele technische Hebel — MFA, Backup, Zugriffskontrolle, Incident-Prozesse — unterscheiden sich aber in Schwerpunkt und Nachweisführung.

Die Richtlinie unterscheidet wesentliche und wichtige Einrichtungen mit unterschiedlicher Melde- und Aufsichtsintensität. Konkrete Größenschwellen, Sektoren und Ausnahmen legt der nationale Gesetzgeber fest. Stand und Auslegung sollten Sie über BSI und offizielle Kanäle verfolgen — nicht über LinkedIn-Alarmismus oder ungeprüfte Berater-Flyer.

Glossar-Einträge zu NIS-2 und NIS-2-Pflicht fassen Begriffe kompakt. Bei Grenzfällen zur Betroffenheit holen Sie Rechtsberatung — IT liefert die Ist-Aufnahme der technischen Maßnahmen, kein Ersatz für juristische Einordnung.

Viele geforderte Elemente sind ohnehin gute KMU-Praxis: Risikoanalyse, Patch-Management, Schulung, Business Continuity. NIS-2 macht vor allem zwei Dinge explizit — Nachweis, dass Maßnahmen gelebt werden, und persönliche Verantwortung der Leitung für Cybersecurity-Entscheidungen.

Steuerkanzleien und reine Dienstleistungsbüros sind oft stärker über DSGVO und Berufsrecht gebunden als über NIS-2. Produzierende Zulieferer, IT-Dienstleister für kritische Kunden und Unternehmen in den erweiterten Sektoren sollten Betroffenheit aktiv prüfen — nicht erst, wenn ein Großkunde einen Fragebogen schickt.

Parallel zur rechtlichen Klärung lohnt ein Blick auf Verträge: Lieferanten- und Kundenanforderungen erreichen KMU häufig indirekt über MFA-Nachweise, Backup-Tests und Incident-Meldewege. Wer Restore-Protokolle, Patch-Stand und Zugriffskontrolle heute dokumentiert, spart später teure Eilprojekte — unabhängig vom finalen Betroffenheitsstatus.

Welche Unternehmen betroffen sein können

Wesentliche und wichtige Sektoren umfassen unter anderem Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, Verarbeitung, Maschinenbau, Fahrzeuge und Teile der digitalen Dienstleistungen. Ob Ihr Unternehmen hineinfällt, hängt von Umsatz, Mitarbeiterzahl und kritischer Rolle in der Versorgungskette ab — national definiert.

Kleine Unternehmen unter bestimmten Schwellen können ausgenommen sein, verlieren aber den Vorteil schnell, wenn sie kritische Funktionen für größere Auftraggeber erbringen. Ein Zulieferer mit zwanzig Mitarbeitenden, der Software für Energieversorger wartet, kann über Verträge stärker gebunden sein als ein Büro mit hundert Mitarbeitenden in einer Nicht-Sektor-Branche.

Indirekte Betroffenheit ist der Alltag vieler KMU: Großkunden verlangen in Rahmenverträgen MFA, Incident-Meldung innerhalb definierter Fristen, Backup-Nachweise und Audits der IT-Dienstleister. Diese Klauseln gelten oft unabhängig davon, ob Sie selbst unter NIS-2 fallen.

Personaldienstleister mit Zugang zu Kundensystemen und produzierende KMU in Lieferketten sollten Betroffenheit nicht ignorieren. Steuerkanzleien prüfen parallel DSGVO und Berufsrecht — dort liegt der Schwerpunkt häufig, nicht bei NIS-2.

Tim Dekker empfiehlt Geschäftsführungen drei Fragen: Wann wurde zuletzt ein Backup wirklich zurückgespielt? Wer hat Admin-Rechte — und warum? Was passiert bei Totalausfall von E-Mail und ERP am Montagmorgen? Wer diese Fragen beantworten kann, ist für Gespräche mit Auftraggebern und Versicherern vorbereitet — unabhängig vom Behördenstatus.

Rechtsberatung bei Unsicherheit; IT liefert Inventar, Konfiguration und Log-Auszüge. IT Security Expert erstellt technische Gap-Reports für KMU — Priorisierung und Unterschrift bleiben bei Ihnen.

Geforderte Maßnahmen im Überblick

Risikomanagement heißt in KMU: kritische Systeme benennen, Schwachstellen nach Schadenpotenzial ordnen, Maßnahmen mit Owner und Frist versehen. Kein 200-Seiten-ISMS nötig — eine priorisierte Maßnahmenliste reicht oft, wenn sie gelebt und jährlich reviewed wird.

Incident Handling umfasst Erkennung, Eindämmung, Meldung und Nachbereitung. Runbook mit Rollen, Eskalation und Kontakten zum BSI — Felder vor dem Vorfall ausfüllen, nicht bei null starten. Tischübung einmal jährlich: ein Nachmittag verhindert Nachtstunden im echten Fall.

Business Continuity verankert sich im IT-Notfallplan: funktionierender Restore, erreichbarer Notfallkontakt, geübter Ablauf — nicht nur ein Ordner mit dem Etikett „Notfall“. RPO und RTO schriftlich festlegen, monatlich Restore testen und protokollieren.

Schulung der Leitung und der Mitarbeitenden ist Pflichtbestandteil — GF-Schulung mit Datum, Teilnehmer und Kerninhalt archivieren. Cyberversicherungen knüpfen Deckung oft an MFA, Backup-Tests und dokumentierte Prozesse — dieselben Basics wie bei NIS-2.

Technische Baseline: MFA für alle Konten, Verschlüsselung auf Laptops, Patch-Management, Logging wo möglich, Least Privilege. Kein Hype-Tool ohne Verantwortlichen — jede Zeile im Umsetzungsplan braucht Owner und Review-Datum.

Führen Sie DSGVO-TOM und NIS-2-Maßnahmen in einer gemeinsamen Prioritätenliste — doppelte Ordner verwirren GF und IT. Reifegrad eins bis zwei ist für KMU realistisch; Perfektion blockiert den Betrieb.

Ratgeber zu IT-Notfallplan, Ransomware, DSGVO und Zugriffsrechten in diesem Cluster dienen als Checkliste — NIS-2 verlangt oft Nachweis dessen, was ohnehin sinnvoll ist.

Verantwortung der Geschäftsführung

NIS-2 macht Cybersecurity zur Führungsaufgabe, nicht zur Nebenbeschäftigung des IT-Freelancers. Geschäftsführung muss nicht jeden Patch verstehen — aber Risiken kennen, Budget freigeben, Prioritäten setzen und auf Vorfälle reagieren können.

Dokumentieren Sie jährliche Briefings, freigegebene Maßnahmenlisten und Schulungsnachweise. Ein Protokoll mit Datum und behandelten Themen schlägt eine Unterschrift auf einem Deckblatt ohne Inhalt. Prüfer und Auftraggeber wollen sehen, dass Entscheidungen nachvollziehbar getroffen wurden.

Haftung motiviert nicht zum Stillstand, sondern zu belastbaren Entscheidungen: Welches Risiko akzeptieren wir bewusst? Welche Maßnahme verschieben wir mit Begründung? Schriftliche Risikoabwägung bei bewussten Ausnahmen — etwa Legacy-System ohne MFA — schützt besser als Schweigen.

Lieferantenverträge sollten Incident-Meldung, MFA-Nachweis und Backup-Tests der IT-Partner einplanen, bevor der erste Vorfall passiert. MSP fragen: MFA auf Admin-Zugängen, Restore-Test-Protokoll, AVV und SLA — schriftlich, nicht mündlich.

Gap-Analyse über zwölf Monate statt Einmal-Audit-Illusion: Vierteljährlich drei Zahlen an die GF — MFA-Quote, letzter Restore-Test, offene Admin-Konten. Trend schlägt Perfektion.

IT Security Expert liefert technische Gap-Reports und unterstützt Umsetzung — Unterschrift, Budget und Priorisierung bleiben intern. Erstgespräch auf it-security-expert.de als strukturierter Einstieg, unverbindlich.

Incident Handling und Meldefristen

NIS-2 definiert Meldefristen für erhebliche Sicherheitsvorfälle — vorläufige Meldung, Folgemeldung, Abschlussbericht. Exakte Fristen und Schwellen hängen von Einordnung als wesentliche oder wichtige Einrichtung ab. Meldewege und Ansprechpartner beim BSI recherchieren, bevor der Vorfall da ist.

Runbook-Felder: Wer erkennt den Vorfall? Wer isoliert Systeme? Wer entscheidet über Meldung? Wer kommuniziert nach außen? IT liefert Forensik-Grunddaten — Timeline, betroffene Systeme, Log-Auszüge. GF koordiniert mit Recht, Datenschutz und Versicherung.

Schweregrad-Vorlage anlegen: wann Behörde, wann nur intern, wann Kunden informieren. Auch Nicht-Meldungen dokumentieren — die Begründung zählt bei späteren Prüfungen.

Ransomware- und Phishing-Artikel in diesem Cluster ergänzen Erstreaktion — ein durchgängiger Prozess von Klick bis Meldung schlägt isolierte Einzelmaßnahmen.

DSGVO-Meldepflicht bei personenbezogenen Daten läuft parallel — 72 Stunden für Behördenmeldung, andere Ansprechpartner. IT liefert Umfang, GF entscheidet mit Datenschutz. Zwei Prozesse, ein Runbook mit Verweisen.

Tischübung jährlich: fiktiver Ransomware-Verdacht oder kompromittiertes Admin-Konto. Rollen üben, Lücken im Runbook schließen, Erreichbarkeit am Wochenende klären.

Supply Chain und IT-Dienstleister

Supply-Chain-Risiko beginnt beim IT-Partner: Hat Ihr MSP MFA auf Admin-Zugängen? Wann wurde zuletzt ein Backup restore-getestet? Wie meldet der Partner Vorfälle an Sie — und wie schnell? Due Diligence vor Vertragsabschluss, nicht nach dem ersten Incident.

Cloud und SaaS gehören auf dieselbe Lieferkettenliste wie Hardware-Zulieferer: Speicherort, Subunternehmer, AVV, Incident-Prozess, Exit bei Vertragsende. Wechsel ohne Dokumentation und Exit-Klausel ist Risiko — Mandantendaten und Admin-Rechte hängen am Partner.

AVV und SLA schriftlich fixieren: Reaktionszeiten, Notfall-Erreichbarkeit, Speicherort von Tickets mit Mandantendaten. Fragen Sie nach Referenzen in vergleichbarer Branche und Größe — nicht nur nach Feature-Liste.

Als Auftraggeber können Sie selbst Supply-Chain-Anforderungen stellen — auch wenn Sie nicht unter NIS-2 fallen. Konsistente Mindeststandards für Ihre Zulieferer reduzieren Ihr eigenes Risiko und beschleunigt Vertragsabschlüsse mit größeren Kunden.

Produzierende KMU und Zulieferer: prüfen Sie, ob kritische Komponenten oder Software-Updates aus unsicheren Quellen kommen. IT Security Expert unterstützt KMU bei technischen Nachweisen für Partner-Audits — rechtliche Vertragsgestaltung bleibt bei Berater oder Anwalt.

Beim MSP-Wechsel: Tenant-Admin, Domains, Dokumentation und Backup-Medien vor Vertragsende klären — sonst blockiert der Ex-Partner die Übergabe.

Gap-Analyse statt Panikprojekt

Starten Sie mit Betroffenheitsklärung und parallel laufender Vertragsprüfung. IT erstellt Ist-Aufnahme: Systeme, Admins, Backup-Status, Patch-Stand, MFA-Quote, Incident-Prozess vorhanden oder nicht. Recht bewertet Betroffenheit — Technik liefert Fakten.

Scorecards auf it-security-expert.de — DSGVO-, Phishing- und Access-Checks — liefern Prioritäteninput für die Gap-Analyse. Ergebnis archivieren, nach drei Monaten wiederholen — Fortschritt sichtbar machen.

Umsetzung in 30-Tage-Wellen: Welle eins MFA und Admin-Trennung, Welle zwei Backup-Restore und Patch-Baseline, Welle drei Incident-Runbook und GF-Schulung. Big-Bang-Projekte lahmlegen KMU-Betrieb — Wellen halten den Alltag am Laufen.

Recht, Technik und Betrieb brauchen je einen Sprechpartner — drei Stimmen, ein Maßnahmenplan. GF moderiert Prioritäten; IT setzt um; Recht/Datenschutz bewerten Grenzfälle.

Business Continuity heißt: Restore funktioniert, Notfallkontakt erreichbar, Ablauf geübt. Ordner „Notfall“ ohne Test ist Papier ohne Wirkung.

Kein Tool ohne Owner — jede Maßnahmenzeile mit Verantwortlichem, Frist und Review-Datum. Reifegrad eins bis zwei für KMU anstreben; Level drei ist selten nötig und oft unbezahlbar.

Nutzen Sie vorhandene Ratgeber als Checkliste. IT Security Expert unterstützt Ist-Audit und technische Umsetzung — Rechtsberatung bleibt bei Ihrem Anwalt.

Nächste Schritte für KMU

Schritt eins: Betroffenheit mit Rechtsberatung und IT-Ist-Aufnahme klären. Schritt zwei: Lieferkettenverträge und Kundenanforderungen parallel lesen — indirekte Pflichten früher sichtbar als Behördenbriefe.

Schritt drei: MFA für alle Nutzer und Admins, monatlicher Restore-Test mit Protokoll, Incident-Runbook mit Rollen und BSI-Bezug. Diese drei Hebel decken einen Großteil typischer Gap-Analysen ab und liefern Nachweise für Auftraggeber und Versicherer — ohne zuerst neue Tools zu kaufen.

Zwölfmonatigen Umsetzungsplan sichtbar führen — Owner und Review-Datum pro Maßnahme, monatlich Fortschritt markieren. GF und IT teilen sich ein Blatt, nicht zwei parallele Listen.

Checks auf it-security-expert.de als neutraler Start — Ergebnis in Gap-Analyse übernehmen, unabhängig von späterer Betreuung.

IT-Dienstleister konkret fragen: Wie melden Sie Vorfälle an uns? Wer ist nachts erreichbar? Wann war der letzte Restore-Test? Antworten schriftlich festhalten.

Wer heute DSGVO-TOM, Backup-Tests und MFA bereits lebt, startet bei NIS-2 nicht bei null — Gap-Analyse statt Neuanfang. NIS-2 ist Anlass, Cybersecurity-Management nachvollziehbar zu machen: dokumentierte Schritte mit Owner, Frist und Review, die auch ohne Behördenbrief sinnvoll sind.