NIS2 für kleine und mittlere Unternehmen: Was jetzt zu tun ist
Rund um NIS2 herrscht viel Unsicherheit. Die einen halten die EU-Richtlinie für ein Thema großer Konzerne, die anderen fürchten einen unbezahlbaren Bürokratieberg. Beides greift zu kurz. NIS2 verlangt im Kern das, was ohnehin gute Praxis sein sollte: dass Unternehmen ihre IT-Risiken kennen und beherrschen.
Was NIS2 im Alltag bedeutet:
- ein strukturierter Umgang mit IT-Risiken statt Bauchgefühl
- Meldepflichten bei erheblichen Sicherheitsvorfällen
- Verantwortung, die ausdrücklich bei der Geschäftsführung liegt
- Anforderungen, die sich über die Lieferkette weitergeben
- ein Mindestmaß an technischen und organisatorischen Maßnahmen
Dieser Beitrag ordnet ein, wen das betrifft und was sich jetzt lohnt – ohne juristische Beratung zu ersetzen.
Worum es bei NIS2 geht
NIS2 ist eine EU-Richtlinie zur Cybersicherheit. Sie weitet den Kreis der betroffenen Branchen deutlich aus und hebt die Anforderungen an. Ziel ist ein einheitlicheres, höheres Sicherheitsniveau in Sektoren, die für Wirtschaft und Gesellschaft wichtig sind – von Energie und Gesundheit über Transport bis zu digitalen Diensten und verarbeitendem Gewerbe.
Anders als eine Verordnung gilt eine Richtlinie nicht unmittelbar, sondern muss von jedem Mitgliedstaat in nationales Recht überführt werden. In Deutschland hat sich diese Umsetzung verzögert. Für die Praxis ist der genaue Stichtag jedoch zweitrangig: Die inhaltlichen Anforderungen sind absehbar, und die Vorbereitung braucht ohnehin Zeit.
Bin ich überhaupt betroffen?
Viele kleine Unternehmen gehen davon aus, dass sie nicht direkt unter NIS2 fallen – und liegen damit oft richtig. Reine Größen- und Branchenschwellen schließen einen Teil der Kleinstunternehmen aus.
Der entscheidende Punkt wird aber gern übersehen: die Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Dienstleister bewerten. Wer als IT-Partner, Zulieferer oder Dienstleister für ein NIS2-pflichtiges Unternehmen arbeitet, bekommt die Anforderungen vertraglich weitergereicht – in Form von Fragebögen, Nachweisen und Mindeststandards.
Damit wird NIS2 auch für viele kleine Betriebe relevant, die formal nicht direkt reguliert sind. Die Frage lautet weniger “Fällt mein Unternehmen unter NIS2?” als “Arbeite ich für jemanden, der darunter fällt?”.
Die Kernpflichten in verständlicher Form
Die Anforderungen lassen sich auf einige Bereiche verdichten:
- Risikomanagement: IT-Risiken systematisch erfassen, bewerten und mit Maßnahmen hinterlegen.
- Technische Grundabsicherung: Updates, Zugriffskontrolle, Mehr-Faktor-Authentifizierung, Backups, Verschlüsselung.
- Vorfallbehandlung: erkennen, reagieren, dokumentieren – und erhebliche Vorfälle fristgerecht melden.
- Business Continuity: Notfall- und Wiederanlaufpläne, damit der Betrieb einen Vorfall übersteht.
- Lieferkettensicherheit: die Sicherheit eingekaufter Dienste und Software bewerten.
- Governance: Die Leitung trägt Verantwortung und muss das Thema aktiv steuern.
Auffällig ist: Nichts davon ist exotisch. Es ist die Summe dessen, was solide IT-Sicherheit ausmacht – nur nun verbindlicher und dokumentiert.
Was sich jetzt lohnt
Unabhängig vom genauen Inkrafttreten in Deutschland gibt es Schritte, die heute sinnvoll sind und im Ernstfall den Unterschied machen:
- Bestandsaufnahme. Welche Systeme, Daten und Dienste sind für den Betrieb kritisch?
- Basis-Hygiene sichern. Patch-Management, Mehr-Faktor-Authentifizierung, getestete Backups, Zugriffskonzepte.
- Notfallplan schreiben. Wer entscheidet im Vorfall was, wer wird informiert, wie läuft der Wiederanlauf?
- Lieferanten einordnen. Von wem hängt Ihr Betrieb ab, und wie sicher sind diese Partner?
- Dokumentieren. Ohne Nachweise bleibt jede Maßnahme im Zweifel unsichtbar.
Diese Punkte zahlen nicht nur auf NIS2 ein. Sie senken das Risiko realer Vorfälle – der eigentliche Zweck der ganzen Übung.
Kein Grund für Alarmismus
Rund um NIS2 kursieren Angebote, die mit Fristen und Strafen Druck aufbauen. Verunsicherung ist ein schlechter Ratgeber. NIS2 ist kein Projekt, das man an einem Wochenende erledigt, aber auch kein unbezwingbarer Berg. Wer bei der Grundabsicherung sauber arbeitet, hat den größten Teil des Weges bereits hinter sich.
Sinnvoll ist ein ruhiges, schrittweises Vorgehen: erst Klarheit über den Ist-Zustand, dann die wichtigsten Lücken schließen, dann dokumentieren. Aktionismus aus Angst führt oft zu teuren Fehlkäufen ohne echten Sicherheitsgewinn.
Fazit
NIS2 macht IT-Sicherheit zur Chefsache und reicht Anforderungen über die Lieferkette weiter. Auch Unternehmen, die nicht direkt reguliert sind, spüren das als Zulieferer und Dienstleister.
Sinnvolle erste Schritte sind:
- kritische Systeme und Daten erfassen
- IT-Grundhygiene verlässlich umsetzen
- einen Notfall- und Wiederanlaufplan erstellen
- die eigene Lieferkette bewerten und Maßnahmen dokumentieren
Wenn Sie einschätzen möchten, wo Ihr Unternehmen mit Blick auf NIS2 steht und welche Schritte wirklich zählen, begleite ich Sie gerne dabei.