NIS-2 Checkliste für den Mittelstand: Anforderungen, Fristen und Umsetzung

NIS-2 ist die neue EU-Richtlinie für Cybersicherheit. Sie betrifft in Deutschland deutlich mehr Unternehmen als ihre Vorgängerin — auch viele mittelständische Betriebe in der Region Trier, Saarburg und Konz, die sich bisher nicht als "kritische Infrastruktur" verstanden haben. Dieser Leitfaden erklärt, wer betroffen ist, was konkret gefordert wird und wie eine praxistaugliche Umsetzung im KMU aussieht.

Wer ist von NIS-2 betroffen?

Als grobe Faustregel gilt: Unternehmen ab 50 Mitarbeitenden oder ab 10 Mio. € Jahresumsatz, die in einem der von der Richtlinie benannten Sektoren tätig sind. Dazu zählen unter anderem:

• Energie, Wasser und Abwasser
• Transport und Logistik
• Gesundheitswesen inklusive Labore und größerer Praxisverbünde
• Produktion (u. a. Maschinenbau, Elektro, Fahrzeugbau, Medizinprodukte)
• Digitale Infrastruktur und IT-Dienstleister
• Lebensmittelproduktion und -handel
• Chemie, Abfallwirtschaft, Post- und Kurierdienste

Wichtig für kleinere Betriebe: Auch wer selbst nicht direkt unter die Richtlinie fällt, bekommt sie über die Lieferkette zu spüren. Größere Kunden geben Sicherheitsanforderungen vertraglich an ihre Zulieferer weiter — in Ausschreibungen und Lieferantenfragebögen sind Nachweise zu Backup, Notfallplan und Meldewegen inzwischen Standard.

Was NIS-2 konkret verlangt

Die Richtlinie schreibt keine bestimmten Produkte vor, sondern Ergebnisse. Die zehn Kernbereiche im Klartext:

1. Risikoanalyse und Konzepte für die Informationssicherheit
2. Bewältigung von Sicherheitsvorfällen inklusive dokumentierter Abläufe
3. Business Continuity: Backup-Strategie, Wiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette und der direkten Dienstleister
5. Sichere Beschaffung, Entwicklung und Wartung von IT-Systemen
6. Wirksamkeitsmessung der eigenen Sicherheitsmaßnahmen
7. Schulung und Cyberhygiene für alle Mitarbeitenden
8. Kryptografie und Verschlüsselung
9. Zugriffskontrolle und Asset-Management
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Dazu kommen scharfe Meldepflichten: Eine frühe Erstmeldung an das BSI innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine Bewertung nach 72 Stunden und ein Abschlussbericht nach einem Monat. Neu ist außerdem die persönliche Verantwortung der Geschäftsleitung — sie muss die Maßnahmen billigen, überwachen und sich dafür schulen lassen.

NIS-2 Checkliste für den Mittelstand

Diese Liste eignet sich als Einstieg für ein erstes internes Gespräch:

Bereich	Prüffrage	Typischer Nachweis
Betroffenheit	Fällt unser Sektor und unsere Größe unter NIS-2?	Dokumentierte Einstufung
Assets	Kennen wir alle Server, Clients, Cloud-Dienste und Zugänge?	Aktuelles Inventar
Backup	Ist die 3-2-1-Regel umgesetzt und geprüft?	Restore-Protokoll
Zugriffe	Gibt es MFA für alle externen Zugänge und Admin-Konten?	Richtlinie + Screenshot
Patches	Werden Sicherheitsupdates zentral und nachweisbar eingespielt?	Patch-Report
Perimeter	Ist die Firewall aktuell, segmentiert und überwacht?	Konfigurations-Review
Notfall	Existiert ein Notfallplan, der auch ohne Strom lesbar ist?	Ausgedruckter Plan
Meldewege	Wer meldet innerhalb von 24 Stunden an wen?	Eskalationsmatrix
Menschen	Werden Mitarbeitende regelmäßig geschult?	Teilnahmeliste
Lieferkette	Haben unsere IT-Dienstleister vergleichbare Standards?	Vertrag / Anlage

Wer bei mehr als drei Zeilen zögert, hat noch offene Punkte — das ist im Mittelstand die Regel und kein Drama, solange ein Plan mit Terminen dahinterliegt.

In vier Schritten zur Umsetzung

Schritt 1 — Betroffenheit klären. Sektor, Mitarbeiterzahl und Umsatz gegen die Kriterien halten und das Ergebnis schriftlich festhalten. Auch ein "nicht betroffen" ist ein wertvoller Nachweis.

Schritt 2 — Ist-Aufnahme. Ein technischer IT-Check zeigt, wo Backup, Patchstand, Firewall-Regeln und Berechtigungen tatsächlich stehen — nicht, wo sie stehen sollten. Diese Bestandsaufnahme ist die Grundlage für alles Weitere.

Schritt 3 — Lücken schließen. Priorisiert nach Risiko: zuerst MFA, geprüfte Backups und aktuelle Systeme, danach Segmentierung, Monitoring und Dokumentation. Vieles davon deckt eine gute IT-Betreuung im laufenden Betrieb ab.

Schritt 4 — Nachweise pflegen. NIS-2 verlangt Belegbarkeit. Monatliche Reports zu Patchstand, Backup-Erfolg und Vorfällen erfüllen diesen Punkt fast nebenbei, wenn sie ohnehin erzeugt werden.

Warum sich der Aufwand auch ohne Pflicht lohnt

Die Maßnahmen hinter NIS-2 sind keine Bürokratie zum Selbstzweck, sondern genau die Punkte, an denen Angriffe im Mittelstand real scheitern oder eskalieren: fehlende Mehrfaktor-Anmeldung, ungetestete Backups, veraltete Systeme. Ein Betrieb, der die Checkliste sauber abarbeitet, senkt sein Ausfallrisiko unabhängig davon, ob eine Behörde jemals nachfragt — und ist in Ausschreibungen sofort auskunftsfähig.

FAQ

Ab wann gilt NIS-2 in Deutschland?

Die EU-Richtlinie musste bis Oktober 2024 in nationales Recht überführt werden; die deutsche Umsetzung über das NIS2UmsuCG hat sich verzögert. Für betroffene Unternehmen ändert das wenig: Die geforderten Maßnahmen brauchen Vorlauf, und die Pflichten gelten ab Inkrafttreten unmittelbar — ohne lange Übergangsfrist.

Muss ich mich bei einer Behörde registrieren?

Ja. Betroffene Einrichtungen müssen sich beim BSI registrieren und Kontaktdaten für Meldungen hinterlegen. Die Einstufung nimmt das Unternehmen selbst vor — eine behördliche Benachrichtigung, dass man betroffen ist, gibt es nicht.

Welche Strafen drohen bei Verstößen?

Der Rahmen reicht je nach Einstufung bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zusätzlich haftet die Geschäftsleitung persönlich für die Billigung und Überwachung der Sicherheitsmaßnahmen.

Reicht eine Cyber-Versicherung als Absicherung?

Nein. Eine Versicherung ersetzt keine technischen und organisatorischen Maßnahmen — im Gegenteil fordern Versicherer inzwischen selbst MFA, geprüfte Backups und aktuelle Systeme als Voraussetzung für den Versicherungsschutz.

Können wir NIS-2 mit einem kleinen IT-Team stemmen?

Ja, wenn der laufende Betrieb standardisiert ist. Die meisten Anforderungen — Patchmanagement, Backup, Firewall, Monitoring, Reporting — lassen sich als Managed Service abbilden, sodass intern nur Entscheidungen und Freigaben bleiben.

Was ist der schnellste erste Schritt?

Multi-Faktor-Authentifizierung für alle externen Zugänge aktivieren und einen echten Restore aus dem Backup testen. Beides ist in wenigen Tagen machbar und deckt die zwei häufigsten Schadensursachen ab.