NIS2-Checkliste für KMU: Die 10 wichtigsten Schritte

NIS2 klingt nach Bürokratie. Ist es auch — aber mit der richtigen Reihenfolge machbar. Hier sind die 10 Schritte die dein Unternehmen wirklich braucht.

1. Betroffenheit klären

Bevor du irgendetwas umsetzt: Bist du überhaupt betroffen? 50+ Mitarbeiter oder mehr als 10 Mio. Umsatz und Bilanzsumme, in einem Sektor der Anlagen 1 oder 2 des BSIG? Wenn ja, weiter. Wenn unklar: Quick-Check machen.

2. Verantwortlichkeiten festlegen

Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 BSIG). Sinnvoll ist ein benannter Informationssicherheitsbeauftragter (ISB), intern oder extern.

3. Risikobewertung durchführen

Welche Systeme sind geschäftskritisch? Wo liegen die größten Risiken? Eine strukturierte Risikoanalyse ist die Basis für alles Weitere. Methodik: ISO 27005 oder BSI-Standard 200-3.

4. Sicherheitsrichtlinie erstellen

Eine dokumentierte Informationssicherheitsrichtlinie gemäß § 30 BSIG. Muss nicht 100 Seiten lang sein — aber sie muss existieren und gelebt werden.

5. Technische Maßnahmen umsetzen

Firewalls, Patch-Management, Verschlüsselung, Zugangskontrollen, Backup-Konzept. Klingt selbstverständlich — ist es bei vielen KMU nicht.

6. Incident Response Plan aufsetzen

Was passiert wenn es knallt? NIS2 verlangt eine frühe Erstmeldung spätestens 24 Stunden und eine Meldung mit erster Bewertung spätestens 72 Stunden nach Kenntniserlangung. Ohne Plan schaffst du das nicht.

7. Lieferkette absichern

Deine Dienstleister und Zulieferer sind Teil deiner Angriffsfläche. NIS2 verlangt, dass du Sicherheitsanforderungen an deine Lieferkette stellst und diese überprüfst.

8. Mitarbeiter schulen

Phishing ist ein häufiger Einstiegsweg. Regelmäßige Security-Awareness-Schulungen sind nicht optional — NIS2 verlangt sie explizit.

9. Meldeprozesse einrichten

Meldepflicht an die Meldestelle von BSI und BBK: 24h frühe Erstmeldung, 72h Meldung, 1 Monat Abschlussmeldung. Die Uhr läuft, sobald ein Mitarbeiter während der Arbeitszeit vom Vorfall erfährt. Leg jetzt fest wer meldet, über welchen Kanal, mit welchem Template.

10. Regelmäßig überprüfen

Compliance ist kein einmaliges Projekt. Jährliche Reviews, Audits, Penetrationstests — NIS2 verlangt kontinuierliche Verbesserung.