NIS2 im Mittelstand pragmatisch umsetzen

1Einleitung

Fragst du dich bei NIS2 noch, ob das nur ein Thema für Energieversorger und große KRITIS-Buden ist? Dann bist du nicht allein. Genau das ist im Mittelstand einer der häufigsten Denkfehler.

In der Region Aachen sehe ich das ständig: Maschinenbauer, Automotive-Zulieferer, Medizintechnik, IT-Dienstleister und forschungsnahe Unternehmen halten sich für „nicht betroffen“ – bis ein Kunde plötzlich Nachweise, MFA, Incident-Prozesse und Lieferantenbewertungen sehen will. Dann wird aus einem abstrakten Gesetz sehr schnell ein handfestes Geschäftsrisiko .

Und ich sag’s direkt: NIS2 ist kein Projekt, das du mit einer neuen Firewall erschlägst. Es ist ein Management-, Risiko- und Nachweisthema. Technik ist wichtig, klar. Aber wenn Betroffenheit, Rollen, Meldewege und Dokumentation nicht sauber stehen, hilft dir das schönste Tool-Stack wenig.

2Bin ich als Mittelständler überhaupt NIS2-betroffen?

Die erste gute Nachricht: Du musst das nicht raten. Die zweite, weniger schöne: Viele Mittelständler sind näher dran, als sie denken.

NIS2 erfasst 18 Sektoren – 11 Sektoren mit hoher Kritikalität nach Anhang I und 7 sonstige kritische Sektoren nach Anhang II. Laut CompliantDesk geht das also deutlich über klassische KRITIS hinaus.

Für „wichtige Einrichtungen“ gilt laut BOS als Faustregel: ab 50 Beschäftigten oder über 10 Mio. Euro Jahresumsatz und über 10 Mio. Euro Bilanzsumme in einem der 18 Sektoren. Für „besonders wichtige Einrichtungen“ liegt die Schwelle bei ab 250 Beschäftigten oder über 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro Bilanzsumme in einem Anlage-1-Sektor.

Wichtig ist dabei das Zusammenspiel aus Branche und Größe. Nur auf den Umsatz zu schauen reicht nicht. Nur auf die Mitarbeiterzahl auch nicht. Und „wir sind ja kein KRITIS-Unternehmen“ ist ehrlich gesagt gar kein belastbares Argument.

Gerade im verarbeitenden Gewerbe wird es spannend. Secjur nennt dort ausdrücklich Hersteller von Medizinprodukten, Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, Kraftwagen und Kraftwagenteilen sowie den Maschinenbau. Also exakt die Branchen, die du in Aachen und der Städteregion oft findest.

Wenn du im Maschinenbau unterwegs bist, lohnt sich der Blick besonders. IBF Solutions zeigt sauber, dass genau diese Schwellenwerte für viele Industrieunternehmen relevant werden. Und das VDMA-Arbeitspapier macht deutlich, wie breit die Betroffenheit im verarbeitenden Gewerbe streut.

3Warum NIS2 für Geschäftsführer kein reines IT-Thema ist

Der größte Irrtum in vielen Unternehmen: „Das gebe ich an die IT ab.“ Nein. So einfach ist es nicht.

Nach §38 BSIG-neu ist die Geschäftsleitung persönlich für die Umsetzung der Cybersicherheitsmaßnahmen verantwortlich. Laut Secjur entlastet die Delegation an IT-Abteilung oder Dienstleister nicht vollständig. Das ist der Punkt, den viele Geschäftsführer erst dann ernst nehmen, wenn ich ihn im Workshop schwarz auf weiß zeige.

Dazu kommen Bußgelder, die nicht mehr nach Kavaliersdelikt klingen. Besonders wichtige Einrichtungen riskieren laut Taylor Wessing bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen liegen bei bis zu 7 Mio. Euro oder 1,4 %.

Aber noch wichtiger: Bußgeldrisiken entstehen nicht nur, wenn dir irgendeine Hardware fehlt. OpenKRITIS zeigt sehr klar, dass auch unvollständige Dokumentation nach §30, verspätete Meldungen nach §32 oder die Nichtbefolgung von BSI-Anordnungen teuer werden können.

Heißt übersetzt: NIS2 ist Chefsache. Nicht, weil Geschäftsführer plötzlich Logs auswerten sollen. Sondern weil Risikoakzeptanz, Budget, Zuständigkeiten, Lieferantenstrategie und Nachweiskultur Managementaufgaben sind .

4Die 10 Pflichtmaßnahmen nach §30 BSIG verständlich übersetzt

Jetzt zum Kern. §30 fordert risikobasierte technische und organisatorische Maßnahmen. Klingt sperrig, ist aber in der Praxis gut handhabbar, wenn man es ordentlich herunterbricht.

Zu den zehn Themenblöcken gehören laut Secjur und SecurityToday: Risikoanalyse, Incident-Management, Business Continuity, Lieferkettensicherheit, sichere Beschaffung/Entwicklung/Wartung, Wirksamkeitsprüfung, Schulungen, Kryptografie, Zugriffskontrolle und MFA.

Für viele KMU klingt das erst mal nach Mammutprojekt. Meine ehrliche Erfahrung: Meistens fehlt nicht „alles“. Es fehlen an ein paar kritischen Stellen belastbare Mindeststandards und vor allem der Nachweis dazu.

Wenn du pragmatisch priorisieren willst, dann fang hier an:

• MFA für alle kritischen Zugänge
• saubere Backup- und Restore-Prozesse
• Patch- und Schwachstellenmanagement
• Logging und Monitoring
• Rollen- und Rechtekonzept
• Incident-Response-Plan

Das ist nicht die ganze Welt von NIS2, aber es reduziert sehr schnell dein reales Risiko .

„Stand der Technik“ wird dabei oft falsch verstanden. Laut ING-ISM geht es nicht um experimentelle High-End-Security oder die teuerste Lösung am Markt. Gemeint sind bewährte, praxiserprobte technische und organisatorische Verfahren – verhältnismäßig zu Größe, Risiko und Angriffsfläche.

5Meldepflichten nach §32: Was im Ernstfall vorbereitet sein muss

Hier wird’s operativ. Und ehrlich gesagt auch unangenehm, wenn du unvorbereitet bist.

Bei erheblichen Sicherheitsvorfällen greifen kurze Meldefenster. Laut Leupold Legal und Secjur ist eine erste Meldung innerhalb von 24 Stunden nach Kenntnis fällig. Danach folgen weitere Fristen nach 72 Stunden und eine Abschlussmeldung nach einem Monat.

Entscheidend: Es gibt keine allgemeine Schonfrist für §30, §32, §33 oder §38. Das heißt, der Meldeprozess muss stehen, sobald du im Scope bist.

Viele KMU unterschätzen dabei nicht die Technik, sondern die Organisation. Wer erkennt einen Vorfall? Wer bewertet, ob er erheblich ist? Wer meldet ans BSI? Wer informiert Geschäftsführung, Kunden, Versicherer und betroffene Dienstleister?

1. 1
   Vorfall erkennen

   Alarme, Logs, Benutzerhinweise und Dienstleistermeldungen müssen zentral zusammenlaufen.
2. 2
   Erheblichkeit bewerten

   Ein fester Kreis aus IT, Security und Management entscheidet anhand definierter Kriterien.
3. 3
   Meldung auslösen

   Das BSI wird fristgerecht informiert, parallel laufen interne Eskalation und Dokumentation.
4. 4
   Abschluss nachweisen

   Ursache, Auswirkungen, Maßnahmen und Lessons Learned werden sauber dokumentiert.

SecurityToday betont, dass das BSI den operativen Meldeprozess und das zentralisierte Log-Management besonders kritisch prüfen kann. Das halte ich für absolut plausibel. Denn genau dort trennt sich PowerPoint-Compliance von echter Handlungsfähigkeit.

6Lieferkette: Warum auch indirekt betroffene KMU handeln müssen

Das ist der Teil, der in Aachen und Umgebung oft zuerst schmerzt. Nicht die Behörde. Der Kunde.

NIS2 wirkt stark über Verträge. Laut CompliantDesk werden Zulieferer und Dienstleister von NIS2-pflichtigen Unternehmen häufig vertraglich zu Sicherheitsmaßnahmen, Nachweisen und Auditrechten verpflichtet – selbst wenn sie selbst unterhalb der Schwellenwerte liegen.

Genau deshalb sind Maschinenbauer, Medizintechnik-Unternehmen, Automotive-Zulieferer und IT-Dienstleister in der Städteregion Aachen oft viel früher unter Zugzwang, als ihnen lieb ist. Die formale eigene Betroffenheit ist dann fast schon die zweite Frage.

Das BIHK/RAK-LAW-Arbeitspapier nennt typische Druckpunkte sehr klar: Gesundheitswesen verlangt Nachweise von Laboren und Medizingeräte-Herstellern, Energieversorger verpflichten Dienstleister vertraglich zu Sicherheitsstandards, und in Automotive & Industrie sind TISAX oder ähnliche Standards häufig Mindestanforderung.

In meiner Arbeit mit KMU in der Region sehe ich genau das: NIS2 kommt selten mit einem großen roten Brief. Es kommt als Lieferantenfragebogen, als Vertragsanlage, als Auditklausel oder als Kundenanforderung im Ausschreibungsprozess.

Deshalb brauchst du vier Dinge:

• Lieferantenklassifizierung nach Risiko
• Sicherheitsanforderungen in Verträgen
• Nachweisregister für kritische Dienstleister
• Exit- und Notfallpläne bei Ausfall kritischer Lieferanten

Wenn du tiefer in die technische und organisatorische Aufstellung gehen willst, passt dazu auch meine Seite zur IT-Beratung. Nicht als Werbespruch, sondern weil genau dort Infrastruktur, Zuständigkeiten und Sicherheitsbasis oft zusammenlaufen.

7ISO 27001, TISAX oder Grundschutz: Was deckt NIS2 schon ab?

Die kurze Antwort: Ja, vorhandene Standards helfen. Nein, sie ersetzen NIS2 nicht komplett.

Laut Secjur deckt ein ISMS nach ISO 27001 rund 70–80 % der NIS2-Anforderungen ab. Das ist ordentlich. Wer also ISO 27001 schon sauber eingeführt hat, startet nicht bei null.

Die typischen NIS2-Lücken bleiben aber bestehen: Meldepflichten an das BSI nach §32, Registrierung nach §33, persönliche Geschäftsleiterpflicht nach §38 sowie spezifische Lieferketten- und Nachweisanforderungen. Genau das wird in der Praxis gern übersehen.

Auch SecurityToday stellt klar: Es gibt keine offizielle NIS2-Zertifizierung. Der Nachweis läuft über dokumentierte Maßnahmen, Auditergebnisse und prüfbare Prozesse – nicht über irgendein hübsches Logo auf der Website.

Hier der pragmatische Vergleich:

8Der pragmatische NIS2-Fahrplan für 90 Tage Startklarheit

Wenn du mich fragst, wie man als KMU vernünftig startet, dann nicht mit Zertifikatsromantik und auch nicht mit blindem Tool-Shopping. Das ist meine klare Meinung.

In der Praxis starten viele Unternehmen viel zu groß: erst mal Anbieter-Pitches, SOC-Folien, Reifegradmodelle mit 140 Controls. Klingt professionell, bringt aber am Anfang oft erstaunlich wenig. Sinnvoller ist zuerst ein belastbarer Nachweisfahrplan mit Betroffenheitscheck, Geschäftsleitungsbeschluss, Top-10-Risiken, Meldeprozess und sauberem Dokumentenordner.

So würde ich die ersten 90 Tage aufsetzen:

1. 1
   Betroffenheit prüfen

   Sektor, WZ-/NACE-Code, Mitarbeitende, Umsatz, Bilanzsumme, Konzernbezug und Kundenanforderungen dokumentieren.
2. 2
   Verantwortung festlegen

   Geschäftsleitungsbeschluss, NIS2-Owner, Incident-Rollen, Dienstleisterzuständigkeiten und Eskalationswege definieren.
3. 3
   Gap-Analyse gegen §30

   Vorhandene ISO-, TISAX- oder Grundschutz-Nachweise wiederverwenden und Lücken bei Meldung, Registrierung, MFA, Logging und Lieferkette schließen.
4. 4
   Nachweisordner aufbauen

   Risikoanalyse, Maßnahmenplan, Schulungen, Lieferantenbewertung, Restore-Tests, Incident-Runbook und Management-Reviews prüfbar ablegen.

Wenn du diese vier Schritte ernsthaft abarbeitest, hast du mehr erreicht als viele Unternehmen nach monatelangen Diskussionen.

Mein Rat: Erst Klarheit, dann Priorisierung, dann Nachweis. So sparst du Geld, Nerven und vermeidest Aktionismus .

9Häufige Umsetzungsfehler, die KMU teuer werden

Die Muster wiederholen sich erstaunlich oft. Und genau deshalb kann man sie gut vermeiden.

Fehler eins: NIS2 als Zertifizierungsprojekt starten. Es gibt keine offizielle NIS2-Zertifizierung. Wer monatelang nach dem „richtigen Zertifikat“ sucht, arbeitet am eigentlichen Thema vorbei.

Fehler zwei: Nur Technik einkaufen. Mehr EDR, mehr Firewall, mehr Cloud-Security – aber kein Geschäftsleitungsbeschluss, kein Meldeprozess, keine Lieferantenklassifizierung, keine belastbare Dokumentation. Das ist teures Stückwerk.

Fehler drei: ISO 27001 oder TISAX als vollständige Erfüllung betrachten. Beides ist wertvoll, aber eben nicht gleichbedeutend mit NIS2-Compliance. Die Lücken bei Meldung, Registrierung und Organpflicht bleiben.

Fehler vier: Lieferanten erst prüfen, wenn schon ein Vorfall passiert ist. Dann ist es zu spät. Kritische Dienstleister musst du vorab nach Zugriffen, Datenarten, Abhängigkeiten und Ausfallwirkung klassifizieren.

10Das große Bild

NIS2 ist für den Mittelstand kein Selbstzweck. Es ist im Kern ein Drucktest auf Führungsfähigkeit, Betriebsstabilität und Nachweisdisziplin.

Wer das Thema nur juristisch betrachtet, verpasst den operativen Teil. Wer es nur technisch betrachtet, verpasst Haftung, Governance und Meldepflichten. Und wer nur auf Schwellenwerte starrt, übersieht die Lieferkette.

Meine Einschätzung ist deshalb ziemlich klar: Für die meisten KMU ist nicht die perfekte Sicherheitsarchitektur der erste Engpass. Es ist saubere Klarheit. Bin ich betroffen? Wer entscheidet? Was muss ich nachweisen? Wie melde ich? Welche Lieferanten sind kritisch? Wenn diese Fragen sauber beantwortet sind, wird NIS2 plötzlich machbar statt bedrohlich.