NIS2 im Mittelstand: Was jetzt wirklich zu tun ist

Die meisten Geschäftsführer, mit denen ich über NIS2 spreche, kennen den Namen der Richtlinie, aber nicht, ob sie selbst betroffen sind. Das ist kein Vorwurf. Die Kriterien sind über mehrere EU-Texte und ein noch nicht final verabschiedetes deutsches Umsetzungsgesetz verteilt, und die öffentliche Debatte kreist meist um Bußgelder statt um die eigentliche Frage: Was müssen Sie konkret tun?

Zwei Dinge lassen sich schon jetzt sagen. Erstens: NIS2 betrifft deutlich mehr Unternehmen als die alte NIS-Richtlinie, vor allem im Mittelstand, sobald bestimmte Größen- und Branchenkriterien greifen. Zweitens: Wer wartet, bis das Gesetz final in Kraft ist, verschenkt Zeit, die er später nicht mehr hat. Die inhaltlichen Anforderungen ändern sich in den letzten Textfassungen erfahrungsgemäß kaum noch, nur das Datum verschiebt sich.

Sind Sie überhaupt betroffen?

Das hängt an zwei Achsen: Branche und Größe. NIS2 unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, verarbeitendem Gewerbe und einigen mehr. Innerhalb dieser Sektoren greifen dann Schwellenwerte bei Mitarbeiterzahl und Umsatz. Ein Zulieferer mit 60 Mitarbeitenden in der Automobilbranche kann betroffen sein, ein Softwarehaus mit 200 Mitarbeitenden außerhalb der gelisteten Sektoren nicht. Die Einordnung lohnt sich als eigener erster Schritt, am besten mit jemandem, der beide Seiten kennt: die rechtliche Definition und Ihre tatsächliche Unternehmensstruktur.

Und selbst wenn Sie nicht direkt betroffen sind: Wenn Sie an ein betroffenes Unternehmen zuliefern, wird dessen Sicherheitsanforderung zu Ihrer. NIS2 verlangt von den erfassten Unternehmen, die eigene Lieferkette abzusichern. Diese Anforderung wird nach unten durchgereicht, meist in Form von Vertragsklauseln und Sicherheitsfragebögen.

Was NIS2 tatsächlich verlangt

Kein Zertifikat, keine bestimmte Software, kein fertiges Rahmenwerk zum Abhaken. Die Richtlinie beschreibt Risikomanagementmaßnahmen, die „angemessen“ sein müssen, gemessen an Größe und Risikoexposition des Unternehmens. In der Praxis heißt das:

Ein dokumentiertes Risikomanagement, das tatsächlich zu Ihrer IT-Landschaft passt, nicht eine Vorlage aus dem Internet. Ein Konzept für Reaktion auf Sicherheitsvorfälle, inklusive Meldewegen. Business-Continuity-Planung für den Fall, dass Systeme ausfallen. Sicherheit in der Lieferkette, also ein Blick auf die Dienstleister und Software-Anbieter, von denen Sie abhängen. Und, oft unterschätzt, eine persönliche Verantwortung der Geschäftsleitung: Die Geschäftsführung muss die Risikomanagementmaßnahmen billigen und kann bei grober Pflichtverletzung persönlich haftbar gemacht werden.

Der letzte Punkt ändert die Gesprächsdynamik in vielen Unternehmen. Bisher lag IT-Sicherheit oft komplett bei der IT-Abteilung. Mit NIS2 wird sie zur Chefsache, ob die Geschäftsführung das will oder nicht.

Ein realistischer Einstieg

Wenn Sie noch am Anfang stehen, würde ich mit einer ehrlichen Bestandsaufnahme beginnen, bevor Sie in neue Tools investieren:

Wo liegen Ihre kritischen Systeme und Daten, und wer hat Zugriff darauf? Welche Ihrer Dienstleister und Zulieferer könnten im Ernstfall Ihren Betrieb lahmlegen? Gibt es einen dokumentierten Ablauf für den Fall eines Sicherheitsvorfalls, oder improvisiert im Ernstfall jeder? Wann wurde zuletzt geprüft, ob dieser Ablauf überhaupt funktioniert?

Diese vier Fragen ehrlich zu beantworten, dauert bei den meisten mittelständischen Unternehmen wenige Wochen, nicht Monate. Und sie liefern die Grundlage für alles Weitere: eine Gap-Analyse gegen die tatsächlichen NIS2-Anforderungen, keine allgemeine Sicherheitsprüfung ohne Bezug zur Rechtslage.

Was das für Sie bedeutet

NIS2 ist kein Grund zur Panik, aber auch keiner, den man aussitzen sollte. Die Unternehmen, die jetzt anfangen, bauen etwas auf, das sie ohnehin brauchen: einen belastbaren Überblick über die eigenen Risiken. Die Unternehmen, die warten, versuchen das später unter Zeitdruck und meist teurer.

Wenn Sie noch nicht wissen, ob und wie NIS2 Ihr Unternehmen betrifft, ist das der richtige Ausgangspunkt für ein erstes Gespräch, nicht das Ende der Vorbereitung.

Eine erste Einschätzung gibt der kostenlose NIS2-Selbstcheck in zwei Minuten.