Die NIS2-Richtlinie ist seit Oktober 2024 verbindlich. Doch viele Mittelständler sind noch unsicher: Was müssen wir wirklich umsetzen? Welche Maßnahmen haben Priorität? Und wo lauern die Fallstricke?

Wir haben mit Kunden und Behörden gesprochen und zeigen Ihnen, wie Sie NIS2 pragmatisch angehen — ohne Overengineering, aber mit echter Substanz.

Was ist NIS2 eigentlich?

Die Netz- und Informationssicherheitsrichtlinie 2 (NIS2) ersetzt seit Oktober 2024 die alte NIS1 und verpflichtet Unternehmen ab einer bestimmten Größe und in kritischen Sektoren, ihre IT-Sicherheit auf ein neues Level zu bringen.

Vereinfacht: NIS2 sagt, dass Ihre IT-Sicherheit nicht mehr optional ist — sie ist ein geschäftskritisches Governance-Thema.

Wer ist betroffen?

  • Große Unternehmen: über 250 Mitarbeiter oder über 50 Mio. EUR Umsatz
  • Kritische Sektoren: Energie, Verkehr, Wasser, Gesundheit, Finanz, Lebensmittel und mehr
  • Wichtige digitale Dienste: Cloud-Provider, Hosting, DNS, Content-Delivery-Netzwerke

Aber Achtung: Auch kleine Unternehmen sind indirekt betroffen, wenn sie als Zulieferer für NIS2-pflichtige Firmen tätig sind.

Die fünf Kernpflichten

1. IT-Sicherheitsgovernance

Ein klares Sicherheitsmanagement an der Spitze: Vorstand / Geschäftsführung trägt Verantwortung, nicht nur die IT-Abteilung. Ein Sicherheitsbeauftragter muss benannt sein.

2. Risikoanalyse und Risikomitigation

Mindestens jährlich muss eine dokumentierte Risikoanalyse durchgeführt werden. Daraus leitet sich ab, welche Maßnahmen Sie ergreifen. Nicht alle Risiken müssen auf null reduziert werden — aber dokumentierte Entscheidungen sind Pflicht.

3. Incident Reporting

Sicherheitsvorfälle müssen den Behörden und — unter bestimmten Bedingungen — betroffenen Personen gemeldet werden. Frist: meist 72 Stunden nach Feststellung.

4. Kryptografische Sicherheit

Daten in der Post und auf der Festplatte müssen verschlüsselt sein. Das klingt simpel — ist aber in vielen Unternehmen noch nicht flächendeckend umgesetzt.

5. Supply-Chain-Sicherheit

Ihre Lieferanten und Dienstleister müssen auch sicher sein. Das bedeutet: Verträge überprüfen, Assessments durchführen, Abhängigkeiten dokumentieren.

Was Mittelständler wirklich tun sollten — konkret

Schritt 1: Governance-Struktur aufbauen (4–8 Wochen)

  • Einen IT-Sicherheitsverantwortlichen oder externen ISB (IT-Sicherheitsbeauftragten) benennen.
  • Ein Sicherheitskomitee bilden (GF, IT-Leitung, Compliance, ggf. externe Berater).
  • Sicherheitsrichtlinien dokumentieren — nicht umfangreich, aber verbindlich.

Schritt 2: Risikoanalyse durchführen (6–12 Wochen)

  • IT-Landschaft erfassen: Systeme, Daten, Abhängigkeiten, kritische Assets.
  • Risiken bewerten: Welche Bedrohungen sind realistisch? Welche Auswirkungen hätten sie?
  • Maßnahmen ableiten: Was brauchen wir, um das Risiko auf ein akzeptables Niveau zu senken?

Schritt 3: Sicherheitsbasics implementieren (laufend)

  • Zugriffskontrolle: Wer hat Zugriff auf was? Regelmäßig überprüfen.
  • Verschlüsselung: E-Mail (S/MIME oder TLS), Datenträger (BitLocker, LUKS), Cloud-Verbindungen.
  • Monitoring: Was läuft in meinem Netzwerk? Ein SOC oder zumindest ein Monitoring-Service ist heute Standard.
  • Patches: Automatisiertes Patch Management für Systeme und Anwendungen.
  • Backup: Regelmäßige, getestete Backups — und getrennt vom Live-System.

Schritt 4: Supply Chain überprüfen (laufend)

  • Lieferantenliste erstellen.
  • Verträge überprüfen: Enthalten sie Sicherheits- und Datenschutzklauseln?
  • Kritische Dienste regelmäßig auditieren (Cloud-Provider, Hosting, Netzwerk).

Schritt 5: Incident Response planen (4–6 Wochen)

  • Einen Incident Response Plan schreiben: Wer macht was im Angriffsfall?
  • Einen Datenschutzbeauftragten benennen (falls noch nicht geschehen).
  • Meldewege dokumentieren: Wer wird wann benachrichtigt?

Häufige Fallstricke

❌ „Wir machen ein großes Security-Projekt und dann ist NIS2 erledigt."

Falsch. NIS2 ist ein Governance-Prozess, keine Einmalmaßnahme. Dokumentation, Überwachung und regelmäßige Überprüfung sind dauerhaft notwendig.

❌ „NIS2 gilt nur für große Unternehmen."

Teils wahr, teils falsch. Die direkte Pflicht beginnt ab 250 Mitarbeitern oder kritischen Sektoren. Aber als Zulieferer, Cloud-Nutzer oder wichtiger Partner werden Sie indirekt berücksichtigt — oft über Vertragsklauseln und Audits.

❌ „Wir kaufen eine Lösung und sind NIS2-konform."

Nein. Tools helfen, aber Compliance ist ein Prozess. Sie brauchen: Governance, dokumentierte Risikoanalyse, regelmäßiges Monitoring und nachweisbare Maßnahmen.

Wie CamData Ihnen hilft

Wir unterstützen Mittelständler mit einem pragmatischen Dreischritte-Modell:

  • Analyse: Wir erfassen Ihre IT-Landschaft und führen eine Risikoanalyse durch.
  • Planung: Gemeinsam definieren wir einen realistischen Fahrplan mit Priorisierung.
  • Umsetzung: Wir begleiten Sie bei Maßnahmen wie Encryption, Monitoring, SOC, Incident Response — und stellen einen ISB zur Verfügung.

Das Ziel: echte Sicherheit, nicht nur Compliance-Theater.

Ist Ihr Unternehmen NIS2-ready?
Lassen Sie uns eine kostenlose Analyse machen — wir checken Ihre aktuelle Situation und geben konkrete Empfehlungen.
Beratung anfragen →