1. Die europäische Richtlinie – Richtlinie (EU) 2022/2555 (NIS2)

Mit der NIS2-Richtlinie hat die Europäische Union den Rechtsrahmen für Cybersicherheit grundlegend modernisiert. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und verfolgt das Ziel, ein einheitlich hohes Cybersicherheitsniveau in allen EU-Mitgliedstaaten zu gewährleisten.

Ziele der NIS2

Stärkung der Cyber-Resilienz kritischer und wichtiger Einrichtungen
Vereinheitlichung der Sicherheitsanforderungen innerhalb der EU
Verbesserung der Zusammenarbeit zwischen Behörden
Klare Verantwortlichkeiten für Geschäftsleitungen
Deutlich verschärfte Bußgeldregelungen

Wer ist betroffen?

Die Richtlinie unterscheidet zwischen:

Wesentlichen Einrichtungen (Essential Entities)
Wichtigen Einrichtungen (Important Entities)

Betroffen sind u. a. Unternehmen aus Energie, Verkehr, Gesundheit, IT-Dienstleistungen, digitale Infrastrukturen, verarbeitendes Gewerbe, Lebensmittelproduktion, öffentliche Verwaltung und weitere Sektoren – sofern sie definierte Größen- und Relevanzkriterien erfüllen.

2. Das deutsche Umsetzungsgesetz – NIS-2-Umsetzungsgesetz

EU-Richtlinien gelten nicht unmittelbar, sondern müssen in nationales Recht überführt werden. In Deutschland erfolgt dies durch das NIS-2-Umsetzungsgesetz, das insbesondere das:

BSI-Gesetz (BSIG)
IT-Sicherheitsgesetz
weitere Fachgesetze
anpasst und erweitert.

Wesentliche Punkte der deutschen Umsetzung

Erweiterung des Kreises betroffener Unternehmen (voraussichtlich mehrere zehntausend Unternehmen in Deutschland)
Klare Meldepflichten bei Sicherheitsvorfällen
Persönliche Verantwortung der Geschäftsleitung
Hohe Bußgelder bei Verstößen
Stärkere Rolle des BSI als Aufsichts- und Prüfbehörde

3. Anforderungen des Gesetzes

Die NIS2 formuliert konkrete organisatorische und technische Anforderungen. Im Kern fordert sie ein systematisches Risikomanagement für Informationssicherheit.

Zentrale Anforderungen

Risikomanagement für IT- und OT-Systeme
Incident-Handling-Prozesse
Business Continuity & Krisenmanagement
Lieferketten- und Drittparteien-Sicherheit
Sicherheit bei Beschaffung, Entwicklung und Wartung
Schwachstellenmanagement
Wirksamkeitskontrolle der Sicherheitsmaßnahmen
Schulungen und Awareness-Maßnahmen
Kryptographie und Verschlüsselung
Zugriffsmanagement und Authentisierung (z. B. MFA)
Meldepflichten bei erheblichen Vorfällen

Unternehmen müssen nachweisen können, dass diese Maßnahmen angemessen, dokumentiert und wirksam umgesetzt sind.

4. Maßnahmen zur Umsetzung im Unternehmen

Die praktische Umsetzung erfolgt typischerweise durch den Aufbau oder die Weiterentwicklung eines Informationssicherheitsmanagementsystems (ISMS).

1. Aufbau eines strukturierten ISMS

Definition von Geltungsbereich und Verantwortlichkeiten
Festlegung einer Sicherheitsorganisation
Dokumentierte Leitlinien und Richtlinien

2. Durchführung einer Risikoanalyse

Identifikation von Informationswerten
Bewertung von Bedrohungen und Schwachstellen
Festlegung geeigneter Schutzmaßnahmen

3. Technische Sicherheitsmaßnahmen

Multi-Faktor-Authentisierung
Netzwerksegmentierung
Backup- und Wiederherstellungsstrategien
Monitoring und Logging
Patch- und Schwachstellenmanagement

4. Organisatorische Maßnahmen

Schulungen der Mitarbeitenden
Notfallübungen
Lieferantenbewertungen
Dokumentierte Prozesse für Incident Handling

5. Kontinuierliche Verbesserung

Interne Audits
Management-Reviews
Kennzahlen zur Wirksamkeitsmessung
Regelmäßige Anpassung an neue Bedrohungslagen

Fazit

Die NIS2 stellt keinen rein technischen Maßnahmenkatalog dar, sondern fordert ein ganzheitliches, risikobasiertes Sicherheitsmanagement mit klarer Managementverantwortung.

Für viele mittelständische Unternehmen bedeutet dies:

Einführung oder Professionalisierung eines ISMS
Strukturierte Risiko- und Lieferkettenbewertung
Nachweisbare Dokumentation aller Sicherheitsmaßnahmen

NIS2 ist damit nicht nur eine regulatorische Pflicht, sondern auch eine strategische Chance, die eigene Cyber-Resilienz nachhaltig zu stärken.

NIS2 in 12 Schritten für KMU

Praxisleitfaden zur strukturierten Umsetzung

Die NIS2-Richtlinie stellt viele mittelständische Unternehmen vor neue regulatorische Anforderungen. Der folgende 12-Schritte-Leitfaden bietet eine pragmatische Orientierung für eine wirtschaftlich sinnvolle Umsetzung.

Betroffenheit klären

Prüfen Sie zunächst:

Gehört Ihr Unternehmen zu einem betroffenen Sektor?
Überschreiten Sie die relevanten Größenkriterien (Mitarbeiterzahl, Umsatz)?
Sind Sie Teil einer kritischen Lieferkette?

Falls Unsicherheit besteht, sollte eine strukturierte Vorprüfung erfolgen.

Management einbinden

Cybersicherheit ist Chefsache.

Geschäftsführung formell informieren
Verantwortlichkeiten definieren
Berichtspflichten festlegen
Budgetrahmen abstimmen

Ohne aktive Managementunterstützung ist eine nachhaltige Umsetzung kaum möglich.

Verantwortliche benennen

Bestimmen Sie:

einen Informationssicherheitsverantwortlichen (intern oder extern)
Ansprechpartner für Behörden
klare Rollen und Zuständigkeiten

Auch kleine Unternehmen benötigen eine klare Sicherheitsorganisation.

Geltungsbereich definieren

Definieren Sie, welche Bereiche erfasst werden:

Standorte
IT-Systeme
OT-Systeme (z. B. Produktion)
kritische Geschäftsprozesse

Klare Abgrenzungen verhindern unnötigen Aufwand.

Bestandsaufnahme durchführen

Erstellen Sie eine strukturierte Übersicht:

Server, Netzwerke, Cloud-Dienste
Produktionssysteme
kritische Anwendungen
externe Dienstleister
vorhandene Sicherheitsmaßnahmen

Transparenz ist die Grundlage jeder Risikoanalyse.

Risikoanalyse durchführen

Identifizieren und bewerten Sie:

wesentliche Informationswerte
Bedrohungen (z. B. Ransomware, Ausfall, Sabotage)
Schwachstellen
potenzielle Auswirkungen auf Produktion und Geschäftsbetrieb

Ergebnis sollte eine priorisierte Risikoliste sein.

Maßnahmenplan erstellen

Leiten Sie konkrete Maßnahmen ab, z. B.:

Multi-Faktor-Authentifizierung einführen
Backup-Strategie prüfen und testen
Patch-Management strukturieren
Netzwerksegmentierung verbessern
Administratorrechte reduzieren

Priorisieren Sie nach Risiko und Umsetzbarkeit.

Incident-Handling etablieren

Definieren Sie:

Meldewege im Unternehmen
Eskalationsstufen
Verantwortlichkeiten
Meldeprozesse an Behörden
Dokumentationspflichten

Ein klarer Notfallprozess spart im Ernstfall wertvolle Zeit.

Business Continuity & Notfallmanagement aufbauen

Erstellen Sie:

Notfallpläne
Wiederanlaufkonzepte
Backup- und Restore-Tests
Kommunikationspläne

Gerade für produzierende Unternehmen ist ein Produktionsstillstand existenzbedrohend.

Lieferkette absichern

Prüfen Sie:

Sicherheitsanforderungen in Verträgen
Dienstleisterbewertungen
Zugriff externer Partner
Cloud-Risiken

Viele Cyberangriffe erfolgen über Drittparteien.

Schulung und Sensibilisierung

Regelmäßige Awareness-Maßnahmen:

Phishing-Erkennung
Passwort-Sicherheit
Umgang mit externen Datenträgern
Meldung verdächtiger Vorfälle

Mitarbeitende sind der wichtigste Schutzfaktor.

Dokumentation und kontinuierliche Verbesserung

NIS2 verlangt Nachweisbarkeit.

Sicherheitsleitlinie erstellen
Prozesse dokumentieren
Maßnahmen protokollieren
regelmäßige Management-Reviews durchführen
Sicherheitsniveau jährlich überprüfen

Cybersicherheit ist kein Projekt, sondern ein dauerhafter Prozess.

Typischer Zeitrahmen für KMU

Ein realistischer Umsetzungsrahmen:

1–2 Monate: Analyse und Planung
3–6 Monate: Umsetzung zentraler Maßnahmen
ab 6 Monaten: Stabilisierung und Optimierung

Je nach Ausgangssituation kann der Aufwand variieren.

Typische Fehler vermeiden

Sicherheit nur als IT-Thema behandeln
Keine Priorisierung vornehmen
Dokumentation vernachlässigen
Notfallprozesse nicht testen
Lieferkettenrisiken ignorieren

Fazit

Mit einer strukturierten, risikobasierten Herangehensweise ist die Umsetzung der NIS2-Anforderungen auch für kleine und mittlere Unternehmen beherrschbar. Entscheidend sind:

Managementverantwortung
klare Prioritäten
pragmatische Umsetzung
kontinuierliche Weiterentwicklung

Frühzeitiges Handeln reduziert nicht nur regulatorische Risiken, sondern stärkt die unternehmerische Resilienz nachhaltig.