NIS2 Anforderungen KMU – was kleine und mittlere Unternehmen jetzt wissen und tun müssen

NIS2 Anforderungen KMU – was kleine und mittlere Unternehmen jetzt wissen und tun müssen

Geschätzte Lesezeit: 12 Minuten

Key Takeaways

• NIS2 betrifft deutlich mehr Unternehmen als NIS1 – auch viele KMU können betroffen sein.
• Management-Verantwortung: Geschäftsführung und Vorstände haften persönlich.
• Wichtige Sofortmaßnahmen: MFA, Patching, Backups und Asset-Inventar.
• Lieferanten können unabhängig von ihrer Größe Pflichten haben – prüfen Sie Ihre Lieferkette.
• Nutzen Sie den FitNIS2‑Navigator zur ersten Einschätzung.

Kurzer Überblick zur NIS2-Richtlinie und zu den NIS2 Anforderungen KMU

NIS2 ist die EU-Richtlinie 2022/2555 mit dem Ziel, Cyberrisiken für Netze und Informationssysteme in der EU zu minimieren. Sie ersetzt NIS1 und verschärft Anforderungen in vielen Bereichen.

Wesentliche Punkte auf einen Blick:

• Erweiterter Geltungsbereich: mehr Sektoren, niedrigere Schwellenwerte.
• Persönliche Haftung der Geschäftsführung.
• Lieferkettenschutz: Pflichten können auch Lieferanten treffen.
• Schnelle Meldepflichten: Initialmeldung innerhalb von 24 Stunden.
• Hohe Sanktionen: Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes.

Weitere Informationen und eine verständliche Übersicht finden Sie bei Digitalagentur Berlin und in der Zusammenfassung auf NIS2‑Umsetzung.

Ist Ihr Unternehmen betroffen? NIS2 Anforderungen KMU prüfen

Die Prüfung basiert auf drei Faktoren: Sektorzugehörigkeit, Unternehmensgröße und Rolle in der Lieferkette.

Schritt 1: Sektorzugehörigkeit prüfen

Typische betroffene Bereiche sind Energie, Transport, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, Maschinenbau, Finanzwesen und öffentliche Verwaltung. Prüfen Sie Ihre Haupttätigkeit gegen die komplette Sektorenliste; verantwortliche Person: Geschäftsführung oder IT-Leiter.

Quelle: Digitalagentur Berlin

Schritt 2: Mitarbeiterzahl und Umsatz prüfen

Orientierung:

• Kleinstunternehmen: <10 Mitarbeitende oder <2 Mio. € Umsatz – meist ausgenommen
• Kleine Unternehmen: bis 49 Mitarbeitende oder bis 10 Mio. € Umsatz – oft ausgenommen, Ausnahmen möglich
• Mittlere Unternehmen: >50 Mitarbeitende oder >10 Mio. € Umsatz – häufig betroffen

Quelle: Lexware

Schritt 3: Lieferkette und Kundenstruktur analysieren

Liefern Sie kritische Dienste für regulierte Unternehmen? Dann können Pflichten auch für Sie gelten – unabhängig von Ihrer Größe. Prüfen Sie Ihre Top-10-Kunden.

Empfehlung: Nutzen Sie den FitNIS2‑Navigator.

Schritt 4: Ergebnis dokumentieren

Halten Sie schriftlich fest, ob Sie betroffen sind – inklusive Begründung. Diese Dokumentation gehört in Ihre Compliance-Akte.

NIS2 Geltungsbereich Zulieferer: Wann Lieferanten und Subunternehmer betroffen sind

NIS2 kann Pflichten auch auf Zulieferer ausdehnen. Wenn Ihre Produkte oder Dienstleistungen Teil kritischer Betriebsprozesse eines regulierten Unternehmens sind, gelten besondere Anforderungen.

Als Zulieferer können Sie u. a. zu Nachweispflichten, Audits und Sicherheitsklauseln in Verträgen verpflichtet werden.

Quelle: Transferstelle Cybersicherheit und Digitalagentur Berlin.

Konkrete NIS2 Anforderungen KMU im Detail

Governance & Verantwortlichkeiten

Management-Verantwortung ist zentral: Benennen Sie eine formale Zuständigkeit (z. B. Sicherheitsbeauftragter/CISO), erstellen Sie eine RACI‑Matrix und führen Sie quartalsweise Reporting mit KPIs.

Weiterführende Infos: IT‑Beratung: IT‑Sicherheitskonformität für KMU

Risikoanalyse & Risikomanagement

Aufbau eines schlanken ISMS (ISO 27001 oder BSI Grundschutz empfohlen), Asset-Inventar, Bedrohungs- und Schwachstellenanalyse, Risiko-Scoring und Maßnahmenplanung.

Quellen: Transferstelle Cybersicherheit, Digitalagentur Berlin

Technische Maßnahmen

• Zugangskontrolle: Least‑Privilege, monatliche Rechteüberprüfung.
• MFA: Pflicht für Remote- und Admin‑Zugänge – Guide: MFA für KMU.
• Verschlüsselung: AES‑256 ruhend, TLS 1.2+ im Transport, Schlüsselrotation jährlich.
• Patch‑Management: Monatlicher Zyklus, kritische CVEs innerhalb 72 Stunden – mehr: Patch‑Management.
• Netzwerksegmentierung und Zero‑Trust‑Ansätze: ZTNA‑Guide.
• Backups: 3‑2‑1‑Regel, regelmäßige Wiederherstellungstests – Details: Backup‑Leitfaden.

Operative Maßnahmen

• Monitoring & Logging: SIEM, Log‑Retention 6–12 Monate – Info: SIEM für KMU.
• Incident Response: Playbooks, Kommunikationsmatrix, Tabletop‑Übungen.
• Malware‑Schutz: EDR/Endpoint‑Protection – Best Practices: Endpoint Security.
• Backup & Recovery: RTO/RPO definieren und regelmäßig testen – Anleitung: Disaster Recovery.

Organisatorische Maßnahmen

• Schulungen & Awareness: Pflichtschulungen min. jährlich, quartalsweise Phishing‑Tests (Security Awareness).
• Policies: Acceptable Use, Remote Access, Patch‑Policy, Backup‑Policy.
• Lieferantenmanagement: Klassifikation, vertragliche Anforderungen, Prüfintervalle.

Meldepflichten bei Sicherheitsvorfällen

Bei schwerwiegenden Vorfällen: Initialmeldung innerhalb 24 Stunden, detaillierte Nachmeldung innerhalb 72 Stunden. Legen Sie Verantwortliche und SOPs im Voraus fest.

Nachweispflichten und Dokumentation

Behörden können Audit‑Nachweise anfordern: Risikoanalysen, Audit‑Reports, Backup‑Tests, Incident‑Logs und Lieferantennachweise. Bewahren Sie Dokumente versioniert 3–5 Jahre auf.

NIS2 Maßnahmenkatalog: Quick Wins, mittelfristige und langfristige Maßnahmen

Sofortmaßnahmen – Quick Wins (1–3 Monate)

• MFA für Remote- und Admin‑Zugänge (2 Personentage).
• Backups testen (RTO/RPO definieren, erster Restore‑Test).
• Basis‑Patching und Asset‑Inventar in CSV/CMDB erfassen.

Mittelfristige Maßnahmen (3–9 Monate)

• SIEM‑Rollout, regelmäßige Schwachstellen‑Scans, Incident‑Response‑Plan und Tabletop.
• Rollen- und Verantwortlichkeitsvergabe sowie Lieferantenprüfungen.

Langfristige Maßnahmen (9–24 Monate)

• BCP, Sicherheitsarchitektur‑Revision, TPRM‑Programm und ISO 27001/BSI Grundschutz.
• Arbeiten in 6‑monatigen Sprints und kontinuierliches Reporting an die Geschäftsführung.

NIS2 Gap-Analyse Checkliste: Lücken schnell identifizieren und priorisieren

Bewerten Sie sechs Bereiche (Governance, Inventar, Schutzmaßnahmen, Überwachung, Reaktion, Lieferanten) auf einer Skala 0–3. Alles unter 2 braucht Handlungsbedarf.

Beispiel‑Tabelle (Vorlage):

| Bereich | Status (0–3) | Risiko | Maßnahme | Verantwortlicher | Frist |

Score‑Berechnung: Summe der Statuswerte / (Anzahl Bereiche × 3) × 100.

Quelle: Digitalagentur Berlin, Transferstelle Cybersicherheit

NIS2 Umsetzung Leitfaden: Schritt-für-Schritt zum NIS2‑konformen Unternehmen

Schritt 0 – Projektstart und Governance

Kick‑off mit Geschäftsführung, IT, Compliance, HR und Einkauf. Deliverables: Projektplan, RACI, Budget, Kommunikationsplan. Hilfreich: FitNIS2‑Navigator.

Schritt 1 – Ist‑Analyse mit Gap‑Analyse

Erstellen Sie Asset‑Inventar, Lieferantenliste und Gap‑Report mit Prioritäten. Rollen: IT‑Lead und Compliance; externer Berater optional.

Schritt 2 – Maßnahmenplanung und Budget

Priorisieren Sie Quick Wins, mittelfristige und langfristige Maßnahmen. Grobe Budgetrahmen: Tools 5.000–20.000 €, Schulungen 2.000–5.000 €/Jahr, Audits ab 10.000 €.

Schritt 3 – Implementierung

Umsetzungsreihenfolge: MFA & Patching → SIEM → Netzwerksegmentierung. Parallel: IR‑Playbooks, Meldeprozess, Lieferanten‑Audits und Schulungen. Managed SOC‑Support kann sinnvoll sein: Managed SOC.

Schritt 4 – Testen und Validieren

Empfohlene Tests: externer Pentest, Backup‑Restore, Tabletop‑Exercise. Fix‑Pläne für kritische Findings dokumentieren.

Schritt 5 – Reporting und Nachweisführung

Stellen Sie ein Audit‑Paket zusammen: Risiko‑Report, Maßnahmenstatus, Testergebnisse, Lieferantennachweise. Ansprechpartner: BSI.

Schritt 6 – Kontinuierliche Verbesserung

Quartalsweise Reviews, jährlicher Audit‑Cycle, KPIs wie MTTD, MTTR und Prozent geschlossener Lücken.

Praxisbeispiele für KMU: So sieht NIS2‑Umsetzung in der Praxis aus

Szenario A – IT‑Dienstleister (mittelgroß)

Ausgangslage: 80 Mitarbeitende, Managed Services. Maßnahmen: sofort MFA & Patching, mittelfristig SIEM & Schulungen, langfristig ISO 27001. Quelle: Transferstelle Cybersicherheit.

Szenario B – Maschinenbauunternehmen

Ausgangslage: 120 Mitarbeitende, Zulieferer für Autoindustrie. Maßnahmen: MFA, Vertragsklauseln, Audits. Quelle: Digitalagentur Berlin.

Szenario C – Gesundheitsdienstleister

Ausgangslage: 60 Mitarbeitende, Patientendaten kritisch. Maßnahmen: IR‑Plan, Backup‑Tests, Pentest; Ergebnis: Meldepflichten einhalten. Quellen: Transferstelle Cybersicherheit, Niteflite.

Zeitliche Fristen, Meldepflichten und mögliche Sanktionen

Wichtige Fristen:

• 24 Stunden: Initialmeldung an das BSI bei schweren Vorfällen.
• 72 Stunden: Detaillierte Nachmeldung.

Die nationale Umsetzung in Deutschland erfolgte mit dem NIS2‑Umsetzungsgesetz; aktuelles Info‑Portal: BSI.

Sanktionen: Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes; persönliche Haftung möglich.

Rollen, Ressourcen & Kosten: Was NIS2 Anforderungen KMU kosten

Benötigte Rollen: Projekt‑Sponsor (GF), Projektleiter, CISO/Sicherheitsbeauftragter, IT‑Operations, Compliance, Einkauf und ggf. externer Auditor.

Ressourcen & Kosten (Orientierung):

• Tools & Software: 5.000–20.000 €
• Schulungen: 2.000–5.000 €/Jahr
• Externe Audits / Pentests: ab 10.000 €

Förderungen und Hilfen: BSI, ENISA und der FitNIS2‑Navigator.

Templates & Downloadables: Vorlagen für Ihren NIS2‑Start

Praktische Vorlagen, die Sie sofort anpassen können:

• Muster‑NIS2‑Gap‑Analyse (Excel) – Übersicht, Detail‑Checkliste, Prioritäten und ToDo‑Board. Quellen: Digitalagentur Berlin, Transferstelle Cybersicherheit.
• Vorlage Incident‑Response‑Plan (DOC) – Playbooks, Eskalationsmatrix, Meldeblätter.
• Vertragsklauseln für Zulieferer (DOC) – Auditrecht, Nachweispflichten, Sicherheits‑Appendix: Vertragsmuster.
• NIS2 Maßnahmenkatalog (PDF) – Quick Wins bis Langfristmaßnahmen.

Weiterführende Quellen & Links zu NIS2 Anforderungen KMU

• BSI – Regulierte Unternehmen und NIS2
• ENISA – Europäische Agentur für Cybersicherheit
• FitNIS2‑Navigator – Transferstelle Cybersicherheit
• Digitalagentur Berlin – NIS2 Übersicht
• Niteflite – NIS2‑Leitfaden für KMU
• NIS2‑Umsetzung – Zusammenfassung
• MFA: MFA‑Guide
• SIEM: SIEM für KMU
• Backup & DR: Backup‑Leitfaden, Disaster‑Recovery

FAQ: Die häufigsten Fragen zu NIS2 Anforderungen KMU

1. Bin ich als KMU überhaupt betroffen?

Das hängt vom Sektor, der Größe und Ihrer Rolle in der Lieferkette ab. Nutzen Sie den FitNIS2‑Navigator zur ersten Einschätzung.

2. Welche Fristen gelten bei einem Sicherheitsvorfall?

Initialmeldung innerhalb 24 Stunden, detaillierte Nachmeldung innerhalb 72 Stunden. Diese Abläufe sollten im Vorfeld geübt werden.

3. Was sind die wichtigsten Quick Wins?

MFA einführen, Backups sicherstellen und testen, kritische Patches schließen, vollständiges Asset‑Inventar anlegen.

4. Was kostet NIS2‑Compliance für ein KMU?

Richtwerte: Tools 5.000–20.000 €, Schulungen 2.000–5.000 €/Jahr, externe Audits ab 10.000 €. Quick Wins oft unter 3.000 €.

5. Gilt NIS2 auch für meine Lieferanten?

Ja, wenn Sie kritische Dienste für ein reguliertes Unternehmen erbringen, können Pflichten unabhängig von Ihrer Größe gelten. Weitere Hinweise: TPRM‑Leitfaden.

6. Was passiert, wenn ich NIS2 nicht umsetze?

Bußgelder bis zu 10 Mio. € oder 2 % des Jahresumsatzes sind möglich; persönliche Haftung von Führungskräften droht.

7. Was ist die NIS2 Gap‑Analyse Checkliste?

Ein strukturiertes Werkzeug zur Bewertung Ihres Sicherheitsstands. Scores unter 50 % bedeuten dringenden Handlungsbedarf. Quelle: Digitalagentur Berlin.

8. Brauche ich externe Hilfe?

Nicht zwingend für Quick Wins. Für SIEM‑Rollouts, Pentests oder ISO‑Zertifizierungen ist externer Support empfehlenswert.

9. Welche Rolle spielt das BSI?

Das BSI ist die zuständige nationale Behörde für Meldungen, Aufsicht und Hilfestellungen: BSI‑Portal.

10. Wo fange ich an?

Starten Sie mit der NIS2 Gap‑Analyse Checkliste und priorisieren Sie Quick Wins. In wenigen Stunden haben Sie ein klares Bild.

Abschluss: Jetzt starten – drei einfache Wege in die NIS2‑Compliance

Beginnen Sie heute: Gap‑Analyse durchführen, kostenlosen Readiness‑Check buchen oder NIS2‑Updates abonnieren. Je früher Sie anfangen, desto einfacher die Umsetzung.

Alle Informationen in diesem Beitrag basieren auf dem Stand der NIS2‑Richtlinie und des deutschen NIS2‑Umsetzungsgesetzes zum Zeitpunkt der Veröffentlichung. Für rechtlich verbindliche Einschätzungen konsultieren Sie bitte einen Fachanwalt für IT‑Recht.