Ein erfolgreicher Cyberangriff trifft KMU selten nur technisch. Wenn Aufträge nicht bearbeitet, Termine nicht eingehalten oder Rechnungen nicht versendet werden können, entstehen schnell wirtschaftliche Schäden und Vertrauensverlust. Die NIS2 Anforderungen für KMU sind deshalb nicht bloß ein neues Regelwerk. Sie machen deutlich, dass IT-Sicherheit zur unternehmerischen Verantwortung gehört.
Für Geschäftsführer und Verantwortliche ohne eigene IT-Abteilung ist dabei vor allem eine Frage entscheidend: Betrifft NIS2 unser Unternehmen überhaupt - und was müssen wir konkret tun? Die Antwort hängt von Branche, Unternehmensgröße und Rolle in der Lieferkette ab. Klar ist aber auch: Selbst Unternehmen, die nicht unmittelbar verpflichtet sind, werden die Anforderungen ihrer Kunden, Versicherer und Geschäftspartner zunehmend spüren.
Wen NIS2 tatsächlich betrifft
NIS2 ist eine EU-Richtlinie, die ein einheitlich höheres Niveau der Cybersicherheit schaffen soll. In Deutschland wird sie durch nationale Vorgaben umgesetzt. Im Mittelpunkt stehen Unternehmen und Einrichtungen aus besonders relevanten oder kritischen Sektoren, etwa Energie, Verkehr, Gesundheitswesen, Trinkwasserversorgung, digitale Infrastruktur, IT-Dienstleistungen, Abfallwirtschaft, Produktion bestimmter Güter oder Logistik.
Für viele Unternehmen gelten dabei Größenkriterien. Typischerweise fallen mittlere und größere Organisationen mit mindestens 50 Beschäftigten sowie mindestens 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme in den Anwendungsbereich, sofern sie in einem erfassten Sektor tätig sind. Es gibt jedoch Ausnahmen. Einzelne Einrichtungen können wegen ihrer Bedeutung oder Tätigkeit unabhängig von diesen Schwellen erfasst sein.
Eine Zahnarztpraxis, ein Handwerksbetrieb oder ein Handelsunternehmen ist daher nicht automatisch verpflichtet. Ein mittelständischer Managed-Service-Anbieter, ein Unternehmen in der Medizintechnik oder ein Logistikdienstleister kann dagegen deutlich eher betroffen sein. Die genaue Einordnung sollte nicht auf Vermutungen beruhen. Sie benötigt eine Prüfung der Rechtslage, der Unternehmensstruktur und der angebotenen Leistungen.
NIS2 Anforderungen für KMU: Was ist gefordert?
NIS2 verlangt kein einzelnes Sicherheitsprodukt. Entscheidend ist ein nachvollziehbares Sicherheitsmanagement, das Risiken erkennt, angemessen behandelt und im Ernstfall handlungsfähig macht. Der Aufwand muss zur Gefährdungslage des Unternehmens passen. Ein kleiner Betrieb muss also nicht dieselben Prozesse wie ein Konzern aufbauen. Untätigkeit ist jedoch keine Option.
Die Geschäftsführung trägt Verantwortung
Eine der wichtigsten Änderungen betrifft die Leitungsebene. Geschäftsführung und Management müssen Maßnahmen zur Cybersicherheit billigen, deren Umsetzung überwachen und sich mit den Risiken befassen. IT-Sicherheit lässt sich damit nicht mehr vollständig an externe Dienstleister oder einzelne Mitarbeitende delegieren.
Das bedeutet nicht, dass Geschäftsführer selbst Firewall-Regeln konfigurieren müssen. Sie müssen aber Entscheidungen treffen: Welche Systeme sind geschäftskritisch? Welches Sicherheitsniveau wird benötigt? Wer ist im Notfall verantwortlich? Welche Investitionen sind erforderlich? Eine dokumentierte Risikoentscheidung schafft hier Klarheit und hilft, Prioritäten nachvollziehbar zu setzen.
Risiken systematisch reduzieren
Gefordert sind technische, organisatorische und operative Maßnahmen. Dazu gehören unter anderem ein geregeltes Patch-Management, wirksamer Schutz vor Schadsoftware, sichere Zugänge, Zugriffskontrollen, Datensicherungen und Verfahren für die Wiederherstellung nach einem Ausfall.
Besonders relevant für KMU sind moderne Identitäts- und Zugriffsmodelle. Mehr-Faktor-Authentifizierung für E-Mail, Cloud-Dienste und Fernzugriffe senkt das Risiko kompromittierter Konten erheblich. Ebenso wichtig ist das Prinzip der minimalen Berechtigung: Mitarbeitende erhalten nur Zugriffe, die sie für ihre Aufgabe wirklich benötigen. Administratorrechte sollten klar vergeben, geschützt und regelmäßig überprüft werden.
Auch die Lieferkette gehört in die Betrachtung. Wenn Cloud-Anbieter, Softwarehäuser, externe IT-Betreuer oder branchenspezifische Anwendungen ausfallen oder kompromittiert werden, kann der eigene Betrieb betroffen sein. Verträge, Zuständigkeiten, Sicherheitsnachweise und Eskalationswege sollten deshalb nicht erst nach einem Vorfall geprüft werden.
Vorfälle erkennen, melden und bewältigen
NIS2 rückt die Reaktionsfähigkeit stärker in den Vordergrund. Unternehmen müssen Sicherheitsvorfälle erkennen, bewerten, dokumentieren und - wenn sie unter die Meldepflicht fallen - innerhalb der vorgegebenen Fristen an die zuständigen Stellen melden. Die Fristen können kurz sein. Wer erst während eines Angriffs nach Ansprechpartnern, Logdateien und Entscheidungswegen sucht, verliert wertvolle Zeit.
Ein praxistauglicher Notfallplan muss nicht kompliziert sein. Er sollte festlegen, wer einen Vorfall bewertet, wie Systeme isoliert werden, wie die Geschäftsführung informiert wird und welche externen Ansprechpartner eingebunden werden. Ebenso wichtig ist die Frage, wie der Betrieb weiterarbeitet, wenn E-Mail, Server, Telefonie oder eine Fachanwendung nicht verfügbar sind.
Mitarbeitende einbeziehen
Viele Angriffe beginnen nicht mit einer spektakulären technischen Schwachstelle, sondern mit einer überzeugend formulierten E-Mail oder einem gestohlenen Passwort. Regelmäßige Sensibilisierung ist deshalb Teil wirksamer Sicherheitsmaßnahmen. Schulungen sollten konkret sein: Wie erkennt man Phishing? Was ist bei ungewöhnlichen Zahlungsanweisungen zu tun? Wohin meldet man einen Verdacht?
Ein jährlicher Vortrag allein reicht selten aus. Besser sind kurze, wiederkehrende Impulse und klare Regeln, die zum Arbeitsalltag passen. Wer Mitarbeitende für Risiken sensibilisiert, ohne sie mit Fachbegriffen zu überfordern, verbessert die Sicherheit und stärkt zugleich die Handlungsfähigkeit im Ernstfall.
Der sinnvolle Weg zur Umsetzung
Viele KMU besitzen bereits einzelne Sicherheitsbausteine, etwa Virenschutz, Backups oder eine Firewall. Die Herausforderung besteht darin, daraus ein abgestimmtes Konzept zu machen. Der erste Schritt ist daher kein Produktkauf, sondern eine Bestandsaufnahme.
Zunächst sollten geschäftskritische Prozesse und Systeme erfasst werden: Welche Anwendungen werden für Aufträge, Produktion, Patientenverwaltung, Buchhaltung oder Kommunikation benötigt? Wo liegen die Daten? Wer greift darauf zu? Welche Ausfälle hätten nach einer Stunde, einem Tag oder einer Woche spürbare Folgen?
Danach folgt die Bewertung der Risiken. Ein nicht aktualisierter Server, gemeinsam genutzte Benutzerkonten oder ungeprüfte Sicherungen sind häufig dringender als eine neue Zusatzfunktion in der IT. Priorisieren Sie Maßnahmen nach möglichem Schaden und Umsetzbarkeit. Das schützt vor Aktionismus und macht Budgets planbar.
Für viele Unternehmen bietet sich ein Maßnahmenplan in drei Stufen an. Zuerst werden akute Lücken geschlossen, beispielsweise fehlende Updates, unsichere Fernzugänge oder nicht getestete Backups. Danach werden Prozesse wie Berechtigungsmanagement, Monitoring und Notfallkommunikation verbindlich geregelt. In der dritten Stufe folgen regelmäßige Tests, Schulungen und Verbesserungen.
Was externe IT-Betreuung leisten kann
Ohne internes IT-Team müssen Sicherheitsaufgaben nicht nebenbei bei Verwaltung oder Geschäftsführung landen. Ein verlässlicher IT-Partner kann Systeme überwachen, Updates koordinieren, Sicherheitsmeldungen bewerten und die Dokumentation unterstützen. Gerade bei hybriden IT-Landschaften aus Microsoft 365, lokalen Servern, mobilen Arbeitsplätzen und branchenspezifischer Software schafft das Transparenz.
Wichtig ist eine klare Aufgabenverteilung. Managed Services können viel Verantwortung im Tagesgeschäft übernehmen, entbinden die Geschäftsführung aber nicht von ihren gesetzlichen und organisatorischen Pflichten. Gute Zusammenarbeit bedeutet deshalb: Der Dienstleister liefert technische Expertise, Monitoring und konkrete Handlungsempfehlungen. Das Unternehmen trifft Entscheidungen, stellt Ressourcen bereit und kennt seine kritischen Geschäftsprozesse.
XPINION unterstützt Unternehmen im Ruhrgebiet und in NRW dabei, Sicherheitsmaßnahmen in einen verlässlichen IT-Betrieb zu überführen. Dazu gehören unter anderem Managed Firewall, Backup & Recovery, laufende Systembetreuung und die Absicherung moderner Arbeitsplätze. Entscheidend ist dabei nicht das größte Paket, sondern ein Sicherheitsniveau, das zur tatsächlichen Risikolage und zum Betrieb passt.
Häufige Fehler bei der NIS2-Vorbereitung
Der häufigste Fehler ist, NIS2 allein als Compliance-Projekt zu betrachten. Checklisten und Richtlinien helfen, doch sie schützen nicht automatisch vor einem verschlüsselten Server oder einem kompromittierten Microsoft-365-Konto. Maßnahmen müssen im Alltag funktionieren und regelmäßig geprüft werden.
Ebenso problematisch ist die Annahme, ein Backup löse jede Krise. Sicherungen helfen nur, wenn sie vollständig, getrennt vom produktiven System gespeichert und im Ernstfall tatsächlich wiederherstellbar sind. Ein geplanter Restore-Test zeigt schneller als jedes Protokoll, ob die Wiederanlaufplanung trägt.
Auch übertriebene Komplexität kann schaden. Kleine Unternehmen brauchen keine schwer verständlichen Regelwerke, die niemand nutzt. Sie brauchen klare Verantwortlichkeiten, sichere Standards und einen realistischen Verbesserungsplan. Was dokumentiert wird, sollte für Mitarbeitende und Geschäftsführung verständlich bleiben.
NIS2 ist ein sinnvoller Anlass, die eigene IT nicht nur auf Pflichterfüllung, sondern auf Ausfallsicherheit zu prüfen. Wer jetzt die kritischen Systeme kennt, Zugänge absichert und Notfallabläufe festlegt, schafft mehr als regulatorische Sicherheit: einen Betrieb, der auch unter Druck handlungsfähig bleibt.
