Wer bei NIS2 Entwicklungen nur auf neue Pflichten für große Energie- oder Telekommunikationsunternehmen schaut, übersieht den entscheidenden Punkt: Die Anforderungen reichen tief in Lieferketten, IT-Dienstleistungen und mittelständische Branchen hinein. Für Geschäftsführer und IT-Verantwortliche geht es deshalb nicht allein um die Frage, ob das eigene Unternehmen formal betroffen ist. Es geht darum, ob kritische Geschäftsprozesse, Zugriffe und Daten auch unter einem Cyberangriff kontrollierbar bleiben.
Die NIS2-Richtlinie und ihre Umsetzung in nationales Recht erhöhen den Druck auf viele Organisationen, Cybersicherheit nachweisbar zu steuern. Das betrifft technische Maßnahmen ebenso wie Verantwortlichkeiten in der Geschäftsleitung, Meldewege und die Auswahl externer IT-Dienstleister. Wer früh strukturiert handelt, reduziert nicht nur regulatorische Risiken. Er verbessert auch die Betriebsfähigkeit im Ernstfall.
NIS2 Entwicklungen: Warum der Mittelstand genauer prüfen muss
NIS2 erweitert den Kreis der Unternehmen deutlich gegenüber der früheren NIS-Richtlinie. Maßgeblich sind dabei Branche, Unternehmensgröße und die Bedeutung der angebotenen Dienste. Typischerweise stehen Unternehmen ab 50 Beschäftigten oder mit bestimmten Umsatz- beziehungsweise Bilanzkennzahlen stärker im Fokus. Doch diese Schwellenwerte sind kein Freifahrtschein für kleinere Betriebe.
Zum einen gelten je nach Sektor besondere Regeln und Ausnahmen. Zum anderen verlangen Kunden, Versicherer, öffentliche Auftraggeber oder größere Vertragspartner zunehmend nachvollziehbare Sicherheitsstandards. Ein Maschinenbauer kann beispielsweise über seine Rolle in einer Lieferkette unter Druck geraten. Eine Kanzlei oder ein Dienstleister verarbeitet besonders schützenswerte Daten und muss sichere Zugriffswege auch dann nachweisen können, wenn die formale NIS2-Betroffenheit nicht eindeutig gegeben ist.
Der erste sinnvolle Schritt ist daher keine technische Schnellmaßnahme, sondern eine belastbare Betroffenheitsprüfung. Dabei sollten Unternehmen klären, welche Rechtsform, Größenwerte, Dienstleistungen und Abhängigkeiten relevant sind. Diese Prüfung sollte dokumentiert und bei Wachstum, neuen Services oder einer Änderung der Lieferkette aktualisiert werden.
Die Geschäftsleitung trägt Verantwortung
Eine der wichtigsten Veränderungen liegt in der klareren Verantwortung der Leitungsebene. Cybersicherheit ist nicht mehr nur ein Thema für die IT-Abteilung oder den externen Dienstleister. Geschäftsführung und Vorstand müssen Risiken bewerten, Sicherheitsmaßnahmen billigen und deren Umsetzung überwachen. Auch regelmäßige Schulungen der Leitungsebene gehören zu diesem Verantwortungsrahmen.
Das bedeutet in der Praxis nicht, dass Geschäftsführer Firewalls selbst konfigurieren müssen. Sie müssen aber die richtigen Fragen stellen: Welche Systeme sind für den Betrieb unverzichtbar? Wer darf darauf zugreifen? Wie wird ein Sicherheitsvorfall erkannt und eskaliert? Wann wurde die Wiederherstellung aus einem Backup zuletzt erfolgreich getestet?
Gerade in KMU liegen diese Antworten oft in einzelnen Köpfen. Der Administrator kennt die Infrastruktur, die Assistenz verwaltet Lieferantenkontakte und die Geschäftsführung entscheidet im Krisenfall spontan. Das funktioniert im Alltag, ist aber keine belastbare Sicherheitsorganisation. NIS2 Entwicklungen machen sichtbar, dass klare Zuständigkeiten, Vertretungen und dokumentierte Entscheidungen zur Cyber-Resilienz gehören.
Sicherheitsmaßnahmen müssen zum Risiko passen
NIS2 verlangt einen risikobasierten Ansatz. Es gibt also keine einzelne Software, die ein Unternehmen automatisch konform macht. Entscheidend ist, ob die Maßnahmen zu den tatsächlichen Risiken, Systemen und Geschäftsprozessen passen.
Zu den zentralen Handlungsfeldern gehören Risikoanalyse, Incident Handling, Business Continuity, Backup und Wiederherstellung, Lieferkettensicherheit, sichere Beschaffung, Schwachstellenmanagement, Mitarbeitersensibilisierung sowie wirksame Zugriffskontrollen. Auch Mehrfaktor-Authentifizierung und eine sichere Kommunikation spielen eine wichtige Rolle.
Für ein mittelständisches Unternehmen ist es sinnvoll, diese Felder nicht als isolierte Checkliste zu behandeln. Ein Beispiel: Ein Backup ist nur dann wertvoll, wenn es gegen Manipulation geschützt ist, die Wiederherstellung getestet wurde und klar ist, welche Systeme zuerst wieder laufen müssen. Ebenso schützt Mehrfaktor-Authentifizierung nur begrenzt, wenn externe Dienstleister über gemeinsame Konten oder dauerhaft offene Fernzugänge arbeiten.
Fernzugriffe sind häufig der praktische Schwachpunkt
Viele Unternehmen haben Remote Access über Jahre erweitert: für Homeoffice, externe IT-Betreuung, Wartungsfirmen oder den Zugriff auf Fachanwendungen. Häufig bestehen noch klassische VPN-Zugänge mit weitreichender Netzwerksichtbarkeit. Wird ein Zugang kompromittiert, kann sich ein Angreifer unter Umständen im internen Netz weiterbewegen.
Ein sicherer Ansatz folgt dem Prinzip minimaler Rechte. Nutzer und Dienstleister erhalten nur Zugriff auf die Anwendung oder Ressource, die sie wirklich benötigen, nur für die benötigte Zeit und nach eindeutiger Authentifizierung. Browserbasierter Zugriff auf interne Anwendungen kann dabei eine Alternative sein, wenn keine direkte Netzwerkverbindung erforderlich ist. Privilegierte Administrationszugriffe sollten zusätzlich protokolliert, zeitlich begrenzt und nachvollziehbar freigegeben werden.
Kyvion Secure Access unterstützt diesen Ansatz, indem interne Anwendungen kontrolliert bereitgestellt werden können, ohne sie offen ins Internet zu stellen oder pauschale VPN-Zugänge einzurichten. Welche Architektur geeignet ist, hängt jedoch von den Anwendungen, Nutzergruppen und vorhandenen Sicherheitsmaßnahmen ab. Ein ERP-System, eine Terminalserver-Umgebung und eine Maschinenwartung stellen unterschiedliche Anforderungen.
Netzwerksegmentierung und Firewall gehören zusammen
Auch eine moderne Firewall ersetzt kein Sicherheitskonzept, sie ist aber ein zentraler Baustein. Besonders in hybriden Umgebungen sollten Büro-IT, Server, Produktion, Gastnetz und Verwaltungszugänge nicht unkontrolliert miteinander kommunizieren können. Segmentierung begrenzt die Folgen eines kompromittierten Endgeräts und erleichtert die Erkennung ungewöhnlicher Verbindungen.
Fortinet-basierte Sicherheitslösungen können hier Funktionen für Firewalling, Netzwerksegmentierung, sichere Anbindung von Standorten und Erkennung verdächtiger Aktivitäten verbinden. Entscheidend bleiben jedoch Betrieb und Regelwerk. Ungeprüfte Freigaben, nicht eingespielte Updates oder fehlende Auswertung von Warnmeldungen schaffen neue Risiken, selbst wenn die Technik leistungsfähig ist.
Meldewege müssen vor dem Vorfall stehen
Bei erheblichen Sicherheitsvorfällen sind abgestufte Meldungen an die zuständigen Stellen vorgesehen. Die konkreten Fristen und Meldepflichten hängen von der nationalen Umsetzung und der Einordnung des Unternehmens ab. Typisch sind eine frühe Warnung innerhalb von 24 Stunden, eine weiterführende Meldung innerhalb von 72 Stunden und ein Abschlussbericht zu einem späteren Zeitpunkt.
Für die Praxis ist weniger die juristische Formulierung entscheidend als die Vorbereitung. Wer darf einen Vorfall als erheblich einstufen? Wer informiert Geschäftsführung, Datenschutz, IT-Dienstleister, Versicherer und gegebenenfalls Kunden? Welche Informationen sind verlässlich verfügbar, wenn E-Mail, Telefonanlage oder zentrale Systeme beeinträchtigt sind?
Ein schlanker Notfallplan beantwortet diese Fragen. Er sollte Kontaktlisten außerhalb der produktiven IT enthalten, Rollen festlegen und konkrete Szenarien abdecken, etwa Ransomware, Verlust von Zugangsdaten oder den Ausfall eines Cloud-Dienstes. Mindestens ebenso wichtig ist eine Übung. Erst im Test zeigt sich, ob Ansprechpartner erreichbar sind und ob die Wiederanlaufreihenfolge realistisch ist.
Lieferanten und Cloud-Dienste in die Prüfung einbeziehen
NIS2 Entwicklungen erhöhen auch die Erwartungen an die Lieferkettensicherheit. Das bedeutet nicht, dass jedes KMU seine Dienstleister wie ein Großkonzern auditieren muss. Es bedeutet aber, dass kritische Abhängigkeiten bekannt und angemessen bewertet werden müssen.
Unternehmen sollten für ihre wichtigsten IT-Partner klären, welche Leistungen erbracht werden, welche Zugriffsrechte bestehen, wo Daten verarbeitet werden und wie Sicherheitsvorfälle gemeldet werden. Bei Backup-, Cloud- und Collaboration-Diensten ist zudem relevant, ob Datenexport, Wiederherstellung und Wechsel des Anbieters möglich bleiben. Datensouveränität zeigt sich nicht in einer Produktbezeichnung, sondern in der praktischen Kontrolle über Daten, Schlüssel, Berechtigungen und Wiederanlaufprozesse.
Verträge sollten Verantwortlichkeiten für Updates, Reaktionszeiten, Zugriffsfreigaben und Incident-Meldungen nachvollziehbar regeln. Besonders kritisch sind Dienstleisterkonten mit dauerhaften Administrationsrechten. Besser sind personengebundene, zeitlich begrenzte und protokollierte Zugänge.
Ein umsetzbarer Fahrplan für die nächsten Monate
Statt sofort ein umfangreiches Compliance-Projekt zu starten, sollten KMU ihre Ausgangslage strukturiert erfassen. Eine Sicherheits- und Betroffenheitsanalyse schafft Transparenz über kritische Prozesse, Daten, Systeme, Dienstleister und Zugriffswege. Daraus lassen sich Maßnahmen nach Risiko und Aufwand priorisieren.
Häufig bringen vier Schritte schnell Wirkung: nicht mehr benötigte Konten und Fernzugänge entfernen, Mehrfaktor-Authentifizierung für kritische Zugriffe verbindlich machen, Backup-Wiederherstellungen testen und einen erreichbaren Notfallprozess festlegen. Danach folgen strukturelle Themen wie Segmentierung, Privileged Access Management, Lieferantenbewertung und die Dokumentation von Sicherheitsentscheidungen.
Nicht jede Maßnahme muss sofort umgesetzt werden. Entscheidend ist ein nachvollziehbarer Plan mit Verantwortlichen, Terminen und einer regelmäßigen Überprüfung. Wer NIS2 als Anlass nimmt, Zugriffe zu reduzieren, Daten wiederherstellbar zu halten und Verantwortlichkeiten zu klären, investiert nicht nur in Pflichterfüllung. Er schafft die Grundlage dafür, dass das Unternehmen auch unter Druck handlungsfähig bleibt.
