NIS-2 im Mittelstand: Was Unternehmen jetzt tun sollten

NIS-2 ist für viele Unternehmen kein Zukunftsthema mehr. Seit dem 6. Dezember 2025 gilt das deutsche NIS-2-Umsetzungsgesetz. Damit steigen die Anforderungen an Cybersicherheit, Meldewege, Dokumentation und Verantwortung der Geschäftsleitung deutlich.

NIS-2 ist die europäische Richtlinie zur Netzwerk- und Informationssicherheit. Ziel ist es, Unternehmen und Organisationen widerstandsfähiger gegen Cyberangriffe, IT-Ausfälle und Sicherheitsvorfälle zu machen.

Betroffen sind vor allem Unternehmen bestimmter Sektoren, etwa Energie, Gesundheit, Transport, digitale Infrastruktur, Finanzwesen, Wasser, Lebensmittel, Chemie, Entsorgung, Produktion oder IT-Dienstleistungen. Zusätzlich spielen Größe, Umsatz und Bilanzsumme eine Rolle.

Wichtig ist: Die Betroffenheit sollte nicht geschätzt werden. Geschäftsführung und IT-Verantwortliche sollten diese Prüfung dokumentieren.

Viele Unternehmen haben IT-Sicherheit lange als technische Aufgabe betrachtet. NIS-2 verschiebt den Blick: Cybersicherheit wird stärker zur Führungs-, Organisations- und Nachweispflicht.

Es reicht nicht, eine Firewall zu besitzen oder Microsoft 365 zu nutzen. Entscheidend ist, ob Sicherheitsmaßnahmen geplant, betrieben, überwacht, dokumentiert und im Ernstfall abrufbar sind.

Bei einem erheblichen Vorfall zählt die Zeit: Eine frühe Erstmeldung ist innerhalb von 24 Stunden nach Kenntniserlangung vorgesehen, eine Folgemeldung innerhalb von 72 Stunden.

In vielen Betrieben ist die IT historisch gewachsen. Einzelne Systeme werden ergänzt, Anwendungen laufen weiter, Benutzerrechte bleiben bestehen und Sicherheitsprozesse werden nicht regelmäßig überprüft.

• unvollständige Geräte- und Softwareübersichten
• alte Betriebssysteme oder nicht mehr unterstützte Anwendungen
• fehlende Multi-Faktor-Authentifizierung
• unklare Administratorrechte
• nicht getestete Backups
• fehlendes Monitoring
• keine dokumentierten Notfallabläufe
• zu wenig Trennung zwischen Servern, Clients, WLAN und Gastzugängen
• unklare Verantwortlichkeiten zwischen internem Team und externem IT-Dienstleister

1. Betroffenheit prüfen und dokumentieren
2. IT-Bestand transparent machen
3. Identitäten und Zugänge absichern
4. Patch- und Update-Prozesse verbindlich regeln
5. Backup und Wiederherstellung realistisch testen
6. Monitoring und Protokollierung einführen
7. Notfallplan und Meldeprozess vorbereiten

NIS-2 macht Cybersicherheit stärker zur Managementaufgabe. Budget, Prioritäten, Risikoakzeptanz, Dienstleistersteuerung und Notfallkommunikation liegen bei der Unternehmensführung.

• Kennen wir unsere wichtigsten IT-Risiken?
• Sind unsere Schutzmaßnahmen dokumentiert und überprüfbar?
• Können wir im Ernstfall schnell und geordnet reagieren?

Nicht jedes Unternehmen im Raum Stuttgart oder Rems-Murr-Kreis wird direkt NIS-2-reguliert sein. Trotzdem lohnt sich ein ähnlicher Sicherheitsansatz.

• Multi-Faktor-Authentifizierung für kritische Zugänge aktivieren
• regelmäßige Updates und Ablösung veralteter Software planen
• tägliche Sicherung und getestete Wiederherstellung sicherstellen
• Firewall-Regeln prüfen und Gast- und Firmennetz trennen
• Ausfälle, Backups und Sicherheitsereignisse überwachen
• Ansprechpartner und Wiederanlaufplan dokumentieren
• Mitarbeitende für Phishing und sichere Arbeitsweisen sensibilisieren

Ein Produktionsbetrieb mit 65 Arbeitsplätzen nutzt Microsoft 365, einen lokalen Dateiserver, eine ERP-Anwendung, mehrere Netzwerkdrucker und VPN-Zugänge für Außendienst und Homeoffice.

Die IT funktioniert im Alltag zuverlässig. Trotzdem gibt es Lücken: Ein altes Administratorkonto ist aktiv, Backups wurden seit Monaten nicht testweise zurückgespielt, der VPN-Zugang nutzt keine Multi-Faktor-Authentifizierung, und niemand weiß genau, welche Systeme bei einem Ausfall zuerst wiederhergestellt werden müssen.

Ein pragmatisches NIS-2-Projekt beginnt hier mit einem kurzen Sicherheitscheck, einer priorisierten Maßnahmenliste und der schnellen Umsetzung der größten Hebel.

Für viele mittelständische Unternehmen ist die Herausforderung nicht das Wissen um einzelne Maßnahmen, sondern die Umsetzung im laufenden Betrieb. Genau hier kann ein regionaler IT-Partner helfen.

SCHEIRO IT-Service unterstützt Unternehmen dabei, ihre IT-Sicherheit strukturiert zu prüfen, Maßnahmen zu priorisieren und technische Grundlagen zuverlässig zu betreiben.

• NIS-2-Betroffenheit über die BSI-Informationen prüfen
• Ergebnis der Prüfung schriftlich dokumentieren
• Liste aller wichtigen Systeme, Anwendungen und Dienstleister erstellen
• Administratorrechte und alte Benutzerkonten prüfen
• Multi-Faktor-Authentifizierung für kritische Zugänge aktivieren
• Patch-Status von Servern, Clients, Firewall und VPN prüfen
• Backup-Wiederherstellung testweise durchführen
• Monitoring für Server, Backup und zentrale Dienste einrichten
• Notfallkontakte und Meldewege definieren
• Geschäftsleitung über Risiken und offene Maßnahmen informieren

Gilt NIS-2 für jedes kleine Unternehmen?

Nein. Entscheidend sind unter anderem Branche, Größe, Umsatz, Bilanzsumme und Sondertatbestände.

Reicht eine Firewall für NIS-2 aus?

Nein. Eine Firewall ist wichtig, aber nur ein Baustein. Entscheidend sind auch Prozesse, Dokumentation, Zugriffsschutz, Backup, Monitoring und Notfallmanagement.

Warum ist Backup für NIS-2 so wichtig?

Backups helfen, nach Angriffen oder Ausfällen wieder arbeitsfähig zu werden. Entscheidend ist nicht nur die Sicherung selbst, sondern auch eine getestete Wiederherstellung.