NIS2-Umsetzung für KMU: Der Praxisplan

Ein ausgefallener Fileserver, ein verschlüsseltes ERP-System oder kompromittierte Microsoft-365-Konten sind keine theoretischen Sicherheitsfälle. Für einen mittelständischen Betrieb können wenige Stunden Stillstand Liefertermine, Rechnungsprozesse und die Kommunikation mit Kunden beeinträchtigen. Die NIS2-Umsetzung für KMU beginnt deshalb nicht mit einem Produktkauf, sondern mit einer nüchternen Frage: Welche digitalen Prozesse müssen unter allen Umständen funktionieren?

Wen NIS2 betrifft und warum die Einordnung zuerst kommt

NIS2 erweitert die Anforderungen an die Cybersicherheit für viele Unternehmen und Organisationen in kritischen oder wichtigen Wirtschaftsbereichen. Ob ein konkretes Unternehmen in den Anwendungsbereich fällt, hängt nicht allein von der Mitarbeiterzahl ab. Branche, Tätigkeitsfeld, Unternehmensgröße, Konzernbeziehungen und nationale Regelungen spielen zusammen.

In der Praxis entsteht häufig ein falsches Sicherheitsgefühl: Ein Unternehmen zählt sich zum klassischen Mittelstand und geht davon aus, automatisch nicht betroffen zu sein. Umgekehrt werden manchmal umfangreiche Maßnahmen begonnen, obwohl die rechtliche Einordnung noch ungeklärt ist. Beides kostet Zeit. Geschäftsführung, IT-Leitung und bei Bedarf juristische Fachleute sollten den Geltungsbereich strukturiert prüfen und die Entscheidung dokumentieren.

Auch wenn eine formale Verpflichtung nicht besteht, lohnt sich die Orientierung an den Grundprinzipien. Zulieferer, Dienstleister und Produktionsbetriebe werden zunehmend über Anforderungen ihrer Kunden eingebunden. Wer Sicherheitsmaßnahmen und Verantwortlichkeiten nachvollziehbar belegen kann, reduziert Rückfragen in Ausschreibungen, Audits und Vertragsverhandlungen.

Die NIS2-Umsetzung im KMU als Geschäftsführungsaufgabe

NIS2 ist kein reines IT-Projekt. Die Leitungsebene muss Risiken verstehen, angemessene Maßnahmen veranlassen und deren Wirksamkeit überwachen. Das bedeutet nicht, dass Geschäftsführer jede technische Einstellung beurteilen müssen. Sie müssen aber Ziele festlegen, Zuständigkeiten klären, Entscheidungen nachvollziehbar treffen und ausreichende Ressourcen bereitstellen.

Ein typisches Szenario aus dem Mittelstand: Die IT besteht aus einem kleinen internen Team, ergänzt durch einen externen Supportpartner. Während das Team Störungen bearbeitet, neue Arbeitsplätze einrichtet und Fachbereiche unterstützt, bleiben Sicherheitskonzepte oft liegen. Es fehlen ein aktueller Überblick über Systeme, ein verbindlicher Eskalationsweg und Zeit für Tests. Genau diese Lücke wird bei einem Sicherheitsvorfall sichtbar.

Sinnvoll ist ein fester Steuerungskreis aus Geschäftsführung, IT, Datenschutz beziehungsweise Compliance und den verantwortlichen Fachbereichen. Er sollte nicht monatlich über Einzelfälle diskutieren, sondern Kennzahlen und Entscheidungen steuern: Sind kritische Systeme erfasst? Wurden Wiederherstellungen getestet? Gibt es offene Hochrisiko-Schwachstellen? Funktioniert die Meldekette bei einem Vorfall?

Erst die Abhängigkeiten, dann die Technik

Viele Projekte scheitern daran, dass technische Maßnahmen ohne Priorisierung eingeführt werden. Mehr Sicherheitssoftware schafft keine Übersicht, wenn niemand sagen kann, welches System welche Geschäftsleistung trägt. Ein Warenwirtschaftssystem, die Lohnabrechnung, die Telefonie, E-Mail und die Produktionsplanung haben jeweils andere Ausfallfolgen und Wiederanlaufzeiten.

Eine belastbare Bestandsaufnahme umfasst Anwendungen, Server, Cloud-Dienste, Endgeräte, Netzwerke, Identitäten, externe Zugänge und Dienstleister. Entscheidend sind dabei nicht nur die vorhandenen Systeme, sondern ihre Abhängigkeiten. Ein Backup ist wenig wert, wenn die Zugangsdaten zum Wiederherstellungsportal fehlen oder die Internetanbindung den Rücksicherungsprozess verzögert.

Ein praktikabler Projektablauf statt eines Maßnahmenkatalogs

Für kleine und mittlere Unternehmen ist ein gestaffeltes Vorgehen meist wirksamer als ein groß angelegtes Parallelprojekt. Es schafft schnell Transparenz und verhindert, dass dringende Risiken hinter langfristigen Konzepten verschwinden.

1. Ausgangslage bewerten: Geltungsbereich, kritische Prozesse, vorhandene Schutzmaßnahmen und erkennbare Lücken werden in einem nachvollziehbaren Soll-Ist-Bild zusammengeführt.
2. Risiken priorisieren: Maßnahmen werden nach Schadenpotenzial, Eintrittswahrscheinlichkeit, Aufwand und Abhängigkeiten bewertet. Nicht jede Schwachstelle ist gleich dringend.
3. Grundschutz umsetzen: Identitäten absichern, Zugriffsrechte bereinigen, Mehrfaktor-Authentisierung einführen, Updates steuern, Endgeräte schützen und Backups kontrollierbar machen.
4. Betrieb verankern: Verantwortlichkeiten, Protokolle, Schulungen, Lieferantenanforderungen und Übungen sorgen dafür, dass die Maßnahmen nicht nach dem Projektende versanden.

Die Reihenfolge kann je nach Lage abweichen. Nach einem Sicherheitsvorfall oder bei erkennbar gefährdeten Fernzugängen muss die Absicherung sofort erfolgen. Bei einer grundsätzlich stabilen Umgebung ist es oft sinnvoll, zuerst die Systemlandschaft und die Prozesse zu ordnen.

Identitäten und Berechtigungen: der häufigste Hebel

Angriffe beginnen oft mit gestohlenen Zugangsdaten, täuschend echten E-Mails oder unzureichend geschützten Administratorzugängen. Deshalb gehören eindeutige Benutzerkonten, Mehrfaktor-Authentisierung und das Prinzip minimaler Rechte zu den ersten Maßnahmen. Gemeinsame Konten, ehemalige Mitarbeitende mit aktivem Zugang oder unkontrollierte lokale Administratorrechte sind vermeidbare Risiken.

Dabei darf Sicherheit die Arbeitsabläufe nicht unnötig blockieren. Ein Außendienstteam benötigt andere Zugriffswege als die Buchhaltung, eine Produktionsanlage andere Wartungszugänge als ein Büroarbeitsplatz. Gute Berechtigungskonzepte differenzieren nach Rolle und Risiko, statt alle Mitarbeitenden über einen Kamm zu scheren.

Backups müssen den Ernstfall bestehen

Viele Unternehmen besitzen Datensicherungen, haben aber nie geprüft, ob sich ein vollständiger Geschäftsprozess daraus wiederherstellen lässt. Ein Backup-Job mit grünem Status ist kein Wiederanlaufkonzept. Relevant sind getrennte, geschützte Sicherungen, klare Aufbewahrungsregeln und regelmäßige Wiederherstellungstests.

In einem realistischen Test wird nicht nur eine einzelne Datei zurückgespielt. Das Unternehmen prüft etwa, ob ein zentraler Server, eine Datenbank und die zugehörigen Berechtigungen innerhalb der vereinbarten Zeit wieder verfügbar sind. Die Ergebnisse gehören in ein Protokoll, inklusive erkannter Hindernisse und konkreter Verbesserungen.

Meldewege und Krisenabläufe vorab festlegen

Bei einem Verdacht auf einen Sicherheitsvorfall zählt Zeit. Trotzdem sollte niemand voreilig Systeme abschalten oder Daten löschen. Mitarbeitende brauchen einen einfachen Weg, Auffälligkeiten zu melden. Das IT-Team benötigt eine Handlungsanweisung für Erstbewertung, Eindämmung, Beweissicherung, Kommunikation und gegebenenfalls gesetzliche Meldungen.

Ein kurzer Notfallplan mit Telefonnummern, Rollen und Entscheidungsbefugnissen ist wertvoller als ein umfangreiches Dokument, das im Ernstfall niemand findet. Dazu gehört auch die Frage, wer externe Spezialisten beauftragen darf und wie die Geschäftsführung informiert wird. Besonders bei Ransomware-Verdacht muss klar sein, ob betroffene Geräte vom Netzwerk getrennt werden sollen und wer forensische Schritte koordiniert.

Mindestens einmal jährlich sollte der Ablauf anhand eines Szenarios geprobt werden. Ein Beispiel: Mehrere Mitarbeitende melden verdächtige Anmeldebestätigungen, anschließend werden ungewöhnliche Zugriffe auf ein gemeinsames Dokumentenarchiv festgestellt. Solche Übungen zeigen schnell, ob Kontaktdaten stimmen, Entscheidungswege funktionieren und Protokolle ausreichend sind.

Lieferanten, Cloud-Dienste und Managed Services einbeziehen

Mittelständische Unternehmen betreiben ihre IT selten vollständig selbst. Cloud-Plattformen, Telekommunikation, Hosting, Fachanwendungen und Supportleistungen sind Teil der eigenen Sicherheitslage. Verträge und Leistungsbeschreibungen sollten daher klären, welche Schutzmaßnahmen der Dienstleister übernimmt, wie Vorfälle gemeldet werden, wo Daten verarbeitet werden und wie Zugänge bei einem Anbieterwechsel übergeben werden.

Eine verbreitete Projektfalle besteht darin, Cloud-Dienste als automatisch abgesichert zu betrachten. Der Anbieter schützt zwar seine Plattform, doch die Verantwortung für Benutzerrechte, Datenklassifizierung, Gerätekonfiguration und viele Einstellungen bleibt beim Kunden. Gerade in Microsoft-365-Umgebungen entscheiden saubere Identitätsverwaltung, Protokollierung und abgestimmte Aufbewahrungsregeln über das tatsächliche Schutzniveau.

Externe Spezialisten können hier gezielt entlasten: Sie erfassen technische Abhängigkeiten, prüfen Konfigurationen, strukturieren Maßnahmen und begleiten Tests. Ein Dienstleister wie LTmemory verbindet diese technische Arbeit idealerweise mit dem Verständnis für Betriebsabläufe – etwa wenn ERP, mobile Arbeitsplätze, Telefonie und Datensicherung zusammen betrachtet werden müssen. Entscheidend bleibt eine klare Rollenverteilung: Externe Unterstützung ersetzt nicht die Verantwortung des Unternehmens.

Dokumentation als Steuerungsinstrument, nicht als Ablage

Nachweise werden oft erst kurz vor einer Prüfung zusammengestellt. Das führt zu unvollständigen Listen und rückwirkend geschriebenen Protokollen. Besser ist es, Dokumentation in den Regelbetrieb einzubauen: Risikoentscheidungen, Patch- und Backup-Reports, Berechtigungsprüfungen, Schulungsnachweise, Vorfallprotokolle und Ergebnisse von Wiederherstellungstests werden nachvollziehbar abgelegt.

Die Dokumentation muss nicht kompliziert sein. Für ein mittelständisches Unternehmen zählt, dass sie aktuell, verständlich und einem Verantwortlichen zugeordnet ist. Ein schlankes Sicherheitsmanagement mit festen Prüfroutinen ist belastbarer als ein umfangreiches Handbuch ohne gelebte Prozesse.

Fazit: Sicherheit wird im Betrieb entschieden

Die wirksame Umsetzung von NIS2 zeigt sich nicht an der Zahl eingeführter Tools, sondern an der Fähigkeit, kritische Prozesse zu schützen, Vorfälle geordnet zu behandeln und Systeme verlässlich wiederherzustellen. Unternehmen, die Verantwortlichkeiten, Risiken und technische Grundlagen zusammenführen, schaffen zugleich mehr Planungssicherheit für Kunden, Mitarbeitende und Partner.

Nächster sinnvoller Schritt

Wenn die Systemlandschaft über Jahre gewachsen ist, fehlen häufig aktuelle Übersichten, freie IT-Kapazitäten und Erfahrung mit Notfalltests. Eigenimplementierungen geraten dann leicht in Schieflage: Fachbereiche werden zu spät einbezogen, Maßnahmen bleiben ohne Priorität oder Zuständigkeiten verschwimmen zwischen internem Team und Dienstleistern.

Ein erfahrener IT- oder Digitalisierungsdienstleister kann zunächst eine unabhängige Bestandsaufnahme moderieren, Risiken in eine umsetzbare Reihenfolge bringen und die technische Einführung mit dem laufenden Betrieb abstimmen. Für Unternehmen ist ein gemeinsamer Termin zur Klärung von Geltungsbereich, kritischen Prozessen, vorhandenen Nachweisen und verfügbaren Ressourcen oft der sachlichste Startpunkt. Daraus entsteht kein Standardprogramm, sondern ein Plan, der zum tatsächlichen Risiko und zur eigenen Organisation passt.