Ein kompromittiertes Microsoft-365-Konto, ein verschlüsselter Server oder ein Ausfall der Telefonanlage kann ein mittelständisches Unternehmen innerhalb weniger Stunden handlungsunfähig machen. Die NIS2 Umsetzung für KMU beginnt deshalb nicht mit einem Zertifikat oder einer langen Richtlinie. Sie beginnt mit der ehrlichen Frage: Wissen Sie, welche Systeme Ihr Unternehmen am Laufen halten – und wer im Ernstfall verantwortlich handelt?
NIS2 verschärft die Anforderungen an Cybersicherheit für Unternehmen in kritischen und wichtigen Bereichen. Für Geschäftsführer, Inhaber und Verantwortliche ohne eigene IT-Abteilung ist das Thema vor allem eine Organisationsaufgabe. Technik ist ein wesentlicher Teil der Lösung, aber nur dann wirksam, wenn Zuständigkeiten, Prozesse und Entscheidungen klar geregelt sind.
Betrifft NIS2 Ihr Unternehmen überhaupt?
Nicht jedes kleine Unternehmen fällt automatisch in den direkten Anwendungsbereich. Maßgeblich sind unter anderem Branche, Unternehmensgröße und die konkrete Rolle des Unternehmens in einer Liefer- oder Leistungskette. Betroffen sein können beispielsweise Unternehmen aus Energie, Verkehr, Gesundheitswesen, digitaler Infrastruktur, Abfallwirtschaft, Produktion bestimmter Güter, IT-Dienstleistungen, Logistik oder Teilen der öffentlichen Verwaltung.
Als Orientierung gelten häufig Unternehmen mit mindestens 50 Beschäftigten sowie mindestens 10 Millionen Euro Jahresumsatz oder Bilanzsumme. Es gibt jedoch Ausnahmen: In einzelnen Bereichen können Unternehmen unabhängig von ihrer Größe erfasst sein. Auch verbundene Unternehmen und Konzernstrukturen verändern die Bewertung. Wer als IT-Dienstleister, Managed-Service-Anbieter oder Betreiber digitaler Dienste tätig ist, sollte besonders genau prüfen lassen, ob die gesetzlichen Voraussetzungen erfüllt sind.
Entscheidend ist: Eine Einschätzung nach Bauchgefühl reicht nicht. Die konkrete Einordnung sollte anhand der jeweils geltenden deutschen Umsetzungsvorschriften und der Unternehmensdaten erfolgen. Rechtsberatung ersetzt ein IT-Dienstleister dabei nicht. Was ein guter IT-Partner leisten kann, ist die technische Bestandsaufnahme, eine nachvollziehbare Risikobewertung und die Vorbereitung belastbarer Nachweise.
Auch wenn Ihr Unternehmen formal nicht erfasst ist, bleibt NIS2 relevant. Größere Kunden, Versicherer und Auftraggeber fragen Sicherheitsstandards zunehmend ab. Wer sensible Daten verarbeitet oder auf funktionierende IT angewiesen ist, profitiert von denselben Grundlagen.
Was die NIS2 Umsetzung für KMU praktisch verlangt
NIS2 verlangt keine einzelne Software und keine Checkliste, die man einmal abhakt. Gefordert sind angemessene technische, operative und organisatorische Maßnahmen zum Risikomanagement. Was angemessen ist, hängt von Größe, Gefährdung, Abhängigkeiten und Schutzbedarf des Unternehmens ab.
In der Praxis geht es um einen verlässlichen Sicherheitsbetrieb. Dazu gehören Risikoanalysen, ein geregelter Umgang mit Sicherheitsvorfällen, funktionierende Datensicherungen, Zugriffsschutz, sichere Beschaffung, regelmäßige Prüfungen und Schulungen. Ebenso wichtig: Die Geschäftsleitung muss die Maßnahmen nicht nur freigeben, sondern ihre Umsetzung verantworten.
Das verändert die bisher oft gelebte Haltung vieler KMU. IT-Sicherheit darf nicht allein beim einzelnen Administrator, einem engagierten Mitarbeiter oder einem externen Helfer liegen. Wenn ein Angriff geschieht, müssen Geschäftsführung, Fachbereiche und IT wissen, wer entscheidet, wer informiert und welche Systeme zuerst wiederhergestellt werden.
Die Basis: Überblick über Systeme und Verantwortlichkeiten
Viele Sicherheitslücken entstehen nicht durch fehlende High-End-Technik, sondern durch fehlende Transparenz. In vielen Unternehmen ist unklar, welche Geräte noch aktiv sind, welche Administratoren Zugriff haben, wo Daten liegen oder welche Software besonders geschäftskritisch ist.
Der erste sinnvolle Schritt ist daher ein IT-Inventar. Erfasst werden sollten Endgeräte, Server, Netzwerkkomponenten, Firewalls, WLAN, Cloud-Dienste, Microsoft-365-Mandanten, Benutzerkonten, Anwendungen, Datenbestände und externe Dienstleister. Ergänzen Sie pro System einen Verantwortlichen, den geschäftlichen Zweck und eine Einschätzung, wie kritisch ein Ausfall wäre.
Diese Dokumentation muss nicht kompliziert sein. Sie muss aktuell, verständlich und im Notfall verfügbar sein. Ein Passwortsafe, eine gepflegte Geräteliste und ein dokumentierter Netzwerkplan schaffen oft mehr Sicherheit als eine teure Einzellösung ohne Betriebskonzept.
Identitäten schützen, nicht nur Passwörter verwalten
Gestohlene Zugangsdaten gehören zu den häufigsten Einfallstoren. Besonders kritisch sind Administrator-Konten, E-Mail-Postfächer und Cloud-Zugänge. Ein langes Passwort allein reicht nicht mehr aus.
Mehrstufige Anmeldung sollte für alle relevanten Konten verbindlich eingerichtet sein. Administratorrechte sind auf wenige Personen zu begrenzen und getrennt von normalen Benutzerkonten zu führen. Ehemalige Mitarbeiter, externe Partner und nicht mehr benötigte Konten müssen zeitnah deaktiviert werden. Regelmäßige Prüfungen der Zugriffsrechte gehören fest in den Betrieb.
Für Unternehmen mit Microsoft 365 ist eine saubere Entra-ID-Konfiguration zentral. Dazu zählen passende Sicherheitsrichtlinien, geschützte Administratorzugänge, kontrollierte Geräteanmeldungen und ein nachvollziehbarer Umgang mit externen Freigaben. Welche Einstellungen sinnvoll sind, hängt jedoch vom Arbeitsmodell ab. Ein Vertriebsteam, das viel unterwegs ist, braucht andere Regeln als ein Betrieb mit festen Arbeitsplätzen und sensiblen Konstruktionsdaten.
Backups müssen eine Wiederherstellung ermöglichen
Ein vorhandenes Backup ist kein Beweis für Wiederherstellbarkeit. Wenn Sicherungen nicht geprüft werden, Zugriffe darauf kompromittiert werden können oder wichtige Cloud-Daten fehlen, zeigt sich das erst im Schadensfall.
Ein belastbares Konzept trennt Sicherungen vom produktiven System, schützt sie gegen unbefugte Änderungen und legt klare Aufbewahrungszeiten fest. Es definiert außerdem Wiederanlaufziele: Wie lange darf beispielsweise das ERP-System, die Dateiablage oder die Telefonie ausfallen? Und welche Datenmenge darf maximal verloren gehen?
Mindestens ebenso wichtig sind Wiederherstellungstests. Testen Sie nicht nur, ob eine Sicherung technisch vorhanden ist. Stellen Sie regelmäßig eine Datei, einen Server oder einen wichtigen Dienst in einer kontrollierten Umgebung wieder her. Dokumentieren Sie Dauer, Ergebnis und erkannte Probleme. Erst dann wird aus Backup-Software ein belastbarer Bestandteil der Notfallvorsorge.
Sicherheitsvorfälle brauchen einen klaren Ablauf
Bei einem verdächtigen Login, einer Phishing-Mail mit Schadsoftware oder verschlüsselten Dateien zählt Zeit. Ohne Ablaufplan gehen oft wertvolle Stunden verloren: Mitarbeiter löschen Spuren, Systeme werden voreilig abgeschaltet oder Kunden erhalten widersprüchliche Informationen.
Ein Incident-Response-Plan sollte deshalb festlegen, wer Meldungen entgegennimmt, wer technische Maßnahmen steuert und wann Geschäftsführung, Datenschutz, Versicherung, Kunden oder Behörden eingebunden werden. Er sollte Kontaktwege enthalten, auch wenn E-Mail und Telefonanlage ausfallen. Ein ausgedruckter Notfallkontaktplan ist weniger elegant als ein digitales Wiki, aber bei einem vollständigen IT-Ausfall oft hilfreicher.
Für direkt betroffene Unternehmen können Meldepflichten mit engen Fristen gelten. Deshalb sollte die technische Bewertung eines Vorfalls schnell erfolgen können. Zentralisierte Protokolle, Überwachung wichtiger Systeme und ein erreichbarer IT-Ansprechpartner sind dafür keine Komfortfunktionen, sondern Voraussetzungen für eine handlungsfähige Reaktion.
So setzen KMU die Anforderungen sinnvoll um
Der häufigste Fehler ist der Versuch, alles gleichzeitig zu lösen. Das überfordert Teams, bindet Budget und führt zu Maßnahmen, die später niemand pflegt. Besser ist ein priorisierter Fahrplan, der sich am tatsächlichen Risiko orientiert.
Starten Sie mit einer Bestandsaufnahme und einem Management-Gespräch. Dabei werden geschäftskritische Prozesse, wesentliche Daten, externe Abhängigkeiten und vorhandene Schwachstellen identifiziert. Daraus entsteht eine Maßnahmenliste mit Verantwortlichen, Aufwand, Priorität und Termin.
Zuerst gehören Themen auf den Plan, die hohe Schäden verhindern und meist schnell umsetzbar sind: Mehrfaktor-Authentifizierung, Patchmanagement, Abschaltung unnötiger Konten, gesicherte Administratorzugänge, geprüfte Backups und Schutz für E-Mail. Danach folgen strukturelle Aufgaben wie Netzwerksegmentierung, Geräteverwaltung, Lieferantenprüfungen, Notfallübungen und regelmäßige Risikoanalysen.
Dokumentation ist dabei kein Selbstzweck. Sie beweist, dass Entscheidungen bewusst getroffen und Maßnahmen kontrolliert umgesetzt wurden. Ein einfaches Maßnahmenregister mit Status, Verantwortlichkeit und Prüftermin ist für viele KMU wertvoller als ein umfangreiches Handbuch, das nach seiner Erstellung niemand mehr öffnet.
Externe IT-Betreuung schafft klare Zuständigkeiten
Unternehmen ohne vollständige interne IT-Abteilung müssen NIS2 nicht allein stemmen. Entscheidend ist, dass ein externer Partner nicht nur Tickets bearbeitet, sondern Systeme dauerhaft betreut, Änderungen dokumentiert und Risiken offen anspricht.
Eine ausgelagerte IT-Abteilung kann beispielsweise Geräte und Benutzer zentral verwalten, Sicherheitsupdates überwachen, Microsoft 365 absichern, Backups kontrollieren und bei Vorfällen nach einem vereinbarten Ablauf reagieren. Die Geschäftsführung behält dabei die Verantwortung, erhält aber eine belastbare Entscheidungsgrundlage und feste Ansprechpartner. Genau hier setzt eine strukturierte IT-Betreuung an: Nicht erst handeln, wenn etwas ausgefallen ist, sondern Risiken im laufenden Betrieb reduzieren.
NIS2 ist kein Projekt mit einem Enddatum. Planen Sie deshalb einen festen Termin im Quartal ein, an dem Geschäftsführung und IT gemeinsam auf offene Risiken, Änderungen im Unternehmen, Sicherheitsvorfälle und den Stand der Maßnahmen schauen. Diese Stunde schafft die Verbindlichkeit, die aus einzelnen Sicherheitsmaßnahmen einen dauerhaft funktionierenden Schutz macht.
