NIS2-Anforderungen für kleinere Unternehmen

Ein einzelnes kompromittiertes Microsoft-365-Konto, ein nicht getestetes Backup oder ein externer Fernzugang ohne Mehrfaktor-Authentifizierung kann den Betrieb eines mittelständischen Unternehmens tagelang beeinträchtigen. Die NIS2-Anforderungen für kleinere Unternehmen sind deshalb nicht nur eine juristische Frage. Sie machen sichtbar, ob Verantwortlichkeiten, Technik und Notfallabläufe im Ernstfall tatsächlich funktionieren.

In der Praxis beginnt die Arbeit selten mit einer neuen Sicherheitssoftware. Zuerst muss geklärt werden, ob das Unternehmen unmittelbar in den Anwendungsbereich fällt, welche kritischen Geschäftsprozesse besonders geschützt werden müssen und wer Entscheidungen verbindlich trifft. Gerade kleinere Betriebe profitieren von einem klar begrenzten, risikoorientierten Vorgehen statt von einem Sicherheitsprojekt ohne Prioritäten.

Wen NIS2 tatsächlich betreffen kann

NIS2 richtet sich vor allem an Organisationen aus festgelegten kritischen und wichtigen Sektoren. Dazu gehören je nach Einzelfall etwa Energie, Verkehr, Gesundheitswesen, digitale Dienste, verarbeitende Industrie, Abfallwirtschaft oder bestimmte Lieferketten. Für die Einordnung spielen Branche, Mitarbeiterzahl sowie Umsatz oder Bilanzsumme eine Rolle. Häufig gelten Schwellenwerte ab 50 Beschäftigten und ab zehn Millionen Euro Jahresumsatz oder Bilanzsumme. Es gibt jedoch Ausnahmen, insbesondere bei Dienstleistungen mit besonderer Bedeutung.

Kleinere Unternehmen sollten daraus nicht vorschnell schließen, dass sie außen vor sind. Ein Betrieb mit 30 Mitarbeitenden kann zwar nicht direkt verpflichtet sein, aber als IT-Dienstleister, Zulieferer oder Betreiber eines wichtigen Systems Teil einer abgesicherten Lieferkette werden. Größere Kunden verlangen dann beispielsweise nachvollziehbare Sicherheitsmaßnahmen, geregelte Meldewege, Nachweise zu Backups oder Vorgaben für den Umgang mit Dienstleistern.

Die Einordnung ist eine Geschäftsführungsaufgabe

Ob eine Pflicht besteht, lässt sich nicht allein aus der Unternehmensgröße ableiten. Entscheidend sind die konkrete Tätigkeit, rechtliche Sonderregelungen und die Rolle in der Lieferkette. Die Geschäftsführung sollte diese Bewertung dokumentieren und bei Bedarf rechtlich sowie technisch prüfen lassen. Das schafft eine belastbare Ausgangslage, auch wenn das Ergebnis lautet, dass keine unmittelbare Registrierungspflicht besteht.

Aus Erfahrung ist genau dieser Schritt häufig zu oberflächlich: Die IT bewertet nur die eingesetzten Systeme, während Fachbereiche die tatsächlichen Leistungen und Abhängigkeiten kennen. Eine gemeinsame Bestandsaufnahme verhindert, dass ein relevant gewordenes Geschäftsmodell übersehen wird.

Was kleinere Unternehmen organisatorisch aufbauen müssen

NIS2 verlagert Verantwortung nicht auf die IT-Abteilung. Die Leitung muss Cyberrisiken steuern, angemessene Maßnahmen beschließen und sich regelmäßig über den Stand informieren lassen. Dazu gehört auch, dass Verantwortliche geschult werden und Entscheidungen nachvollziehbar dokumentiert sind.

Für kleinere Unternehmen muss daraus kein umfangreiches Kontrollsystem entstehen. Wichtig ist eine praktikable Sicherheitsorganisation: Es braucht eine benannte Person für die Koordination, eine Vertretung, feste Ansprechpartner bei IT-Partnern und einen Weg, wie Sicherheitsvorfälle an die Geschäftsführung gelangen. Wer außerhalb der Arbeitszeit entscheidet, ob ein möglicher Angriff eskaliert wird, sollte ebenfalls geklärt sein.

Ein gutes Beispiel ist ein Handwerksbetrieb mit mehreren Standorten und mobiler Zeiterfassung. Fällt die zentrale Dateiablage durch Verschlüsselung aus, betrifft das nicht nur die IT. Disposition, Lohnvorbereitung, Baustellenkommunikation und Rechnungsstellung brauchen dann klare Prioritäten. Die Geschäftsführung muss wissen, welche Prozesse zuerst wiederhergestellt werden und welche Informationen Kunden, Mitarbeitende und Partner erhalten.

Technische Maßnahmen mit messbarem Nutzen

Das Gesetz verlangt kein festes Produktpaket, sondern angemessene Maßnahmen zum Risikomanagement. Angemessen bedeutet: Schutzaufwand und Kontrolltiefe müssen zu den möglichen Schäden, der Systemlandschaft und der Bedrohungslage passen. Ein Unternehmen mit wenigen zentralen Anwendungen setzt andere Schwerpunkte als ein Betrieb mit Produktionsnetzen, Außendienst und zahlreichen Schnittstellen.

In fast jedem mittelständischen Projekt verdienen diese Bereiche zuerst Aufmerksamkeit:

• Identitäten und Zugriffe: Mehrfaktor-Authentifizierung, eindeutige Benutzerkonten, restriktive Administratorrechte und ein sauberer Prozess beim Ein- und Austritt von Mitarbeitenden.
• Aktualisierungen und Schutzsysteme: Betriebssysteme, Server, Netzwerkkomponenten und Fachanwendungen benötigen geregelte Updates sowie eine zentrale Überwachung auffälliger Ereignisse.
• Datensicherung und Wiederherstellung: Backups müssen getrennt geschützt, regelmäßig kontrolliert und anhand realistischer Szenarien wiederhergestellt werden.
• Notfallmanagement: Ein kurzer, verständlicher Ablaufplan legt fest, wer technische Maßnahmen einleitet, wer kommuniziert und wie Beweise gesichert werden.
• Dienstleistersteuerung: Verträge, Zugriffsrechte, Reaktionszeiten und Sicherheitsanforderungen externer Partner müssen zur eigenen Risikolage passen.

Besonders häufig wird die Qualität von Backups überschätzt. Ein grüner Status in der Sicherungssoftware beweist lediglich, dass Daten geschrieben wurden. Er beweist nicht, dass ein Server, eine virtuelle Maschine oder eine Geschäftsanwendung innerhalb der benötigten Zeit wieder produktiv läuft. Wiederherstellungstests sind daher kein Zusatz, sondern eine betriebliche Absicherung.

Ein pragmatischer Weg von der Bestandsaufnahme zur Umsetzung

Ein sinnvoller Einstieg beginnt mit einem überschaubaren Sicherheits-Check. Er erfasst Geschäftsprozesse, Anwendungen, Datenarten, Standorte, Dienstleister und vorhandene Schutzmaßnahmen. Daraus entsteht keine theoretische Inventarliste, sondern eine Priorisierung: Welche Ausfälle würden Umsatz, Produktion, Lohn, Lieferfähigkeit oder den Datenschutz am stärksten gefährden?

Danach sollten Unternehmen die größten Lücken schließen. In vielen Fällen sind das fehlende Mehrfaktor-Authentifizierung, gemeinsam genutzte Konten, nicht dokumentierte Admin-Zugänge, ungeprüfte Sicherungen oder fehlende Patch-Verantwortlichkeiten. Erst wenn diese Grundlagen belastbar sind, lohnt sich die Ausweitung auf detailliertere Kontrollmechanismen und umfassende Nachweisstrukturen.

Im dritten Schritt werden Abläufe geprobt. Ein Tischtest reicht anfangs aus: Die Geschäftsführung, IT und verantwortliche Fachbereiche spielen durch, was bei einem verdächtigen Login, einem Ausfall des Servers oder einer verschlüsselten Dateiablage passiert. Dabei zeigen sich meist ganz praktische Fragen: Wer hat die Mobilnummer des IT-Partners? Wo liegen Notfallzugänge? Welche Anwendung ist für die Rechnungsstellung zwingend? Wie wird entschieden, ob Systeme vom Netz getrennt werden?

Die Ergebnisse gehören in einen Maßnahmenplan mit Verantwortlichen, Budget, Termin und Prüfkriterium. Dieser Plan sollte regelmäßig fortgeschrieben werden. Sicherheit ist kein Projekt, das nach einer Abnahme endet, denn neue Anwendungen, Mitarbeitende und externe Zugriffe verändern die Risikolage laufend.

Typische Projektfallen im Mittelstand

Ein häufiger Fehler ist, Compliance als reine Dokumentationsaufgabe zu behandeln. Richtlinien ohne technische Umsetzung helfen im Angriff nicht. Umgekehrt reicht Technik ohne klaren Eigentümer ebenfalls nicht aus: Wenn niemand Patch-Freigaben priorisiert oder kritische Warnungen bewertet, bleiben Risiken bestehen.

Auch die Einführung neuer Cloud-Dienste wird oft isoliert betrachtet. Werden Benutzerverwaltung, Datenklassifizierung, Sicherung, mobile Geräte und Berechtigungen nicht gemeinsam geplant, entstehen Sicherheitslücken an den Übergängen. Das gilt ebenso für ERP-, HR- oder Telefonielösungen, die auf dieselben Identitäten und Netzwerkverbindungen angewiesen sind.

Viele Unternehmen greifen bei der Umsetzung deshalb auf externe Spezialisten zurück. Deren Aufgabe besteht nicht darin, möglichst viele Maßnahmen zu verkaufen, sondern die vorhandene Landschaft realistisch zu bewerten, Verantwortlichkeiten zu strukturieren und technische Schritte kontrolliert umzusetzen. Erfahrene Berater vermeiden etwa, dass Mehrfaktor-Authentifizierung ohne Notfallzugänge aktiviert wird oder dass ein Backup-Konzept keine Wiederherstellungszeiten definiert.

LTmemory begleitet solche Vorhaben typischerweise an der Schnittstelle von Infrastruktur, Cloud-Arbeitsplätzen und Geschäftsprozessen. Gerade bei gewachsenen Umgebungen ist dieser Blick hilfreich, weil Sicherheitsmaßnahmen den Betrieb nicht ausbremsen dürfen.

Fazit: Sicherheit als steuerbarer Betriebsprozess

Für kleinere Unternehmen ist NIS2 vor allem ein Anlass, die eigene Widerstandsfähigkeit ehrlich zu prüfen. Die entscheidende Frage lautet nicht, ob jedes denkbare Risiko vollständig ausgeschlossen werden kann. Entscheidend ist, ob das Unternehmen kritische Angriffe erkennt, handlungsfähig bleibt und seine wichtigsten Prozesse innerhalb einer akzeptablen Zeit wiederherstellt.

Wer Zuständigkeiten festlegt, Risiken priorisiert, Grundlagen konsequent absichert und Notfälle testet, gewinnt mehr als formale Rechtssicherheit. Er reduziert Ausfallkosten, schafft verlässlichere Abläufe und kann Anforderungen von Kunden sowie Partnern fundiert beantworten.

Gesprächsgrundlage für die nächsten Schritte

Ein erster Sicherheitscheck sollte klären, welche Systeme den Geschäftsbetrieb tragen, welche personellen Ressourcen intern verfügbar sind und wo externe Unterstützung sinnvoll ist. Eigenimplementierungen scheitern selten am guten Willen, sondern an fehlender Zeit, unvollständiger Dokumentation und nicht getesteten Abhängigkeiten zwischen Anwendungen, Zugängen und Backups.

Ein erfahrener IT- oder Digitalisierungsdienstleister kann die technische Bestandsaufnahme moderieren, Maßnahmen nach Risiko ordnen, die Umsetzung koordinieren und die Teams in wiederkehrende Abläufe überführen. So bleibt die Geschäftsführung in der Steuerung, während Fachwissen dort eingebunden wird, wo Fehlentscheidungen im Ernstfall teuer werden. Der sinnvollste nächste Schritt ist daher eine nüchterne Bewertung der eigenen Ausgangslage – bevor ein Vorfall diese Bewertung unter Zeitdruck erzwingt.