NIS2 im Blick behalten: So meistern kleine IT-Teams die Umsetzung in 90 Tagen

Wer derzeit durch deutsche Mittelstandsforen scrollt, trifft auf ein wiederkehrendes Muster: NIS2 wird als Bedrohung dargestellt, als bürokratisches Monster, das nur mit teuren Beratungsprojekten zu bändigen sei. Die Realität sieht anders aus. Für die meisten betroffenen Unternehmen mit kleinen IT-Teams ist NIS2 vor allem eine Frage der Organisation – nicht der Technik. Und Organisation lässt sich lernen.

Zuerst klären: Sind wir überhaupt betroffen?

Bevor irgendein Budget bewegt wird, lohnt ein nüchterner Blick auf die Einordnung. Die Richtlinie erfasst Unternehmen ab 50 Mitarbeitenden beziehungsweise ab zehn Millionen Euro Jahresumsatz in als wesentlich oder wichtig eingestuften Sektoren – darunter Energie, Logistik, Gesundheitswesen, Abfallwirtschaft und Teile der digitalen Infrastruktur. Hinzu kommt die Lieferketten-Wirkung: Auch wer selbst nicht unmittelbar in den Anwendungsbereich fällt, bekommt die Anforderungen über Ausschreibungen und Kundenanfragen zu spüren.

In den ersten zwei Wochen des Fahrplans genügt also ein sauberes Selbst-Assessment. Der BSI-Leitfaden und die Verordnung (EU) 2024/1369 liefern die Kriterien. Das Ergebnis dokumentieren Sie schriftlich – diese Dokumentation ist später ohnehin Bestandteil der Nachweispflichten.

Wochen 1 bis 30: Inventur statt Ehrfurcht

Der erste Monat gehört dem Bestandsaufbau. Sie brauchen drei Listen:

1. Asset-Inventar: Welche Systeme, Anwendungen und Geräte existieren im Unternehmen? Wer betreibt sie, wer ist verantwortlich?
2. Zugriffsübersicht: Wer hat welche Rechte auf welche Systeme? Vor allem ehemalige Mitarbeitende und externe Dienstleister verdienen hier Aufmerksamkeit.
3. Datenfluss-Skizze: Wo liegen personenbezogene und geschäftskritische Daten, und wer verarbeitet sie?

Klingt nach Projekt? Ist es in vielen Fällen nicht. Ein einfaches Tabellenkalkulationstool reicht für den Anfang völlig aus. Wichtiger ist die Regelmäßigkeit: Ein Inventar, das einmal gepflegt und dann vergessen wird, ist wertlos.

Wochen 31 bis 60: Die vier Hebel, die 80 Prozent ausmachen

NIS2 verlangt kein High-End-Security-Operations-Center. Die Richtlinie beschreibt Risikomanagement auf Basis bewährter Grundmaßnahmen. Vier Hebel bringen kleine Teams am weitesten:

Multi-Faktor-Authentifizierung überall. Wo kein MFA möglich ist, dokumentieren Sie den Ausnahmefall samt Kompensationskontrolle. Das ist bereits die Hälfte der Praxisanforderungen, die Rechnungsprüfer in anderen Rechtsgebieten seit Jahren prüfen.

Patch- und Update-Prozess. Ein fester Wochentag, eine Checkliste, ein Verantwortlicher. Automatische Updates aktivieren, wo immer möglich. Die meisten Vorfälle im Mittelstand entstehen nicht durch ausgeklügelte Angriffe, sondern durch Monate alte, ungepatchte Schwachstellen.

Backups nach dem 3-2-1-Prinzip. Drei Kopien, zwei Medientypen, eine Kopie extern – und mindestens einmal im Quartal ein dokumentierter Wiederherstellungstest. Ein Backup, das noch nie getestet wurde, ist kein Backup.

Mitarbeitende einbinden. Ein kurzer Basiskurs, ein Phishing-Selbsttest, ein Ansprechpartner für Verdachtsfälle. Security-Kultur entsteht nicht durch Richtliniendokumente, sondern durch wiederkehrende, kurze Kommunikation.

Wochen 61 bis 90: Vorfälle üben, Meldewege festlegen, Vorstand einbinden

Der letzte Monat widmet sich dem, was NIS2 von ISO-Zertifizierungen unterscheidet: die Pflicht zur Meldung erheblicher Vorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Lagebericht) an das BSI. Legen Sie den Meldeweg schriftlich fest – wer entscheidet, wer informiert, welche Vorlage wird verwendet? Ein einseitiges Dokument genügt, solange jeder im Team weiß, wo es liegt.

Dazu kommt die Schulungspflicht der Geschäftsleitung. NIS2 macht den Vorstand persönlich verantwortlich – ein 90-minütiger Workshop zu Risikolage und Restrisiken ist Pflicht, nicht Kür. Wer das verschriftlicht, hat ein Argument, das im Ernstfall Gewicht hat.

Was der Fahrplan nicht leistet

Ehrlichkeit gehört dazu: 90 Tage ersetzen kein vollständiges Informationssicherheits-Managementsystem. Nach dem ersten Quartal geht es um kontinuierliche Pflege – jährliche Risikoanalysen, laufende Dokumentation, regelmäßige Übungen. Aber der Einstieg muss nicht perfekt sein, nur nachvollziehbar. Die Aufsichtsbehörden bewerten, ob ein Unternehmen seine Pflichten ernst nimmt und strukturiert arbeitet – nicht, ob jede Zeile einer Norm erfüllt ist.

Wer heute beginnt, hat bei Inkrafttreten der nationalen Umsetzung keinen Rückstand, sondern einen Vorsprung.