NIS2-Checkliste: In 10 Schritten zur Umsetzung vorbereiten

Warum NIS2 jetzt auf die Agenda gehört

Mit der europäischen NIS2-Richtlinie (EU) 2022/2555 hat die EU die Anforderungen an die Cybersicherheit von Unternehmen und Einrichtungen deutlich verschärft. In Deutschland wird die Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das insbesondere das BSI-Gesetz (BSIG) neu fasst. Im Vergleich zur bisherigen KRITIS-Regulierung fallen künftig deutlich mehr Organisationen in den Anwendungsbereich, darunter viele mittelständische Unternehmen.

Die folgende Checkliste bietet eine strukturierte Orientierung. Sie ersetzt keine Rechtsberatung: Ob und in welchem Umfang Ihr Unternehmen betroffen ist, sollten Sie im Zweifel mit fachkundiger Unterstützung und anhand der aktuellen Gesetzeslage sowie der Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI) prüfen. Einen Überblick über die wichtigsten Grundlagen finden Sie auch auf unserer Seite zu NIS2.

Die NIS2-Checkliste in 10 Schritten

1. Betroffenheit prüfen

Am Anfang steht die Frage, ob Ihr Unternehmen überhaupt unter NIS2 fällt. Maßgeblich sind vor allem zwei Kriterien:

• Sektorzugehörigkeit: NIS2 benennt zahlreiche Sektoren, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, bestimmte Bereiche des verarbeitenden Gewerbes sowie digitale Dienste.
• Unternehmensgröße: Grundsätzlich sind mittlere und große Unternehmen erfasst. In bestimmten Fällen gelten Pflichten unabhängig von der Größe.

Je nach Einstufung unterscheidet das Gesetz zwischen besonders wichtigen und wichtigen Einrichtungen. Das BSI stellt hierzu Orientierungshilfen bereit. Dokumentieren Sie das Ergebnis Ihrer Prüfung nachvollziehbar, auch wenn Sie zu dem Schluss kommen, nicht betroffen zu sein.

2. Registrierungspflicht beachten

Betroffene Einrichtungen müssen sich beim BSI registrieren. Klären Sie frühzeitig, welche Angaben benötigt werden, wer intern verantwortlich ist und welche Fristen gelten. Halten Sie die Kontaktdaten aktuell, da sie für Meldungen und behördliche Kommunikation relevant sind.

3. Geschäftsleitung einbinden

NIS2 nimmt die Leitungsebene ausdrücklich in die Pflicht. Die Geschäftsleitung muss Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Zudem sieht die Regulierung vor, dass Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken und Maßnahmen angemessen beurteilen zu können. Cybersicherheit wird damit eindeutig zur Führungsaufgabe und lässt sich nicht vollständig an die IT delegieren.

4. Verantwortlichkeiten und Ressourcen festlegen

Benennen Sie klare Zuständigkeiten, beispielsweise für Informationssicherheit, Datenschutz und Notfallmanagement. In kleineren Unternehmen können Rollen zusammengefasst oder durch externe Dienstleister unterstützt werden. Wichtig ist, dass Aufgaben, Entscheidungswege und Vertretungen schriftlich geregelt sind und ausreichend Budget zur Verfügung steht.

5. Bestandsaufnahme und Risikoanalyse durchführen

Ohne Überblick keine Sicherheit. Erfassen Sie Ihre wesentlichen Werte und Abhängigkeiten:

• Geschäftskritische Prozesse und die dafür benötigten IT-Systeme
• Daten, Anwendungen, Cloud-Dienste und Schnittstellen
• Externe Dienstleister und Lieferanten

Bewerten Sie anschließend, welche Bedrohungen für diese Werte relevant sind und wie wahrscheinlich und schwerwiegend ein Vorfall wäre. Etablierte Rahmenwerke wie der BSI IT-Grundschutz oder die ISO/IEC 27001 können als methodische Grundlage dienen.

6. Technische und organisatorische Maßnahmen umsetzen

NIS2 verlangt geeignete, verhältnismäßige Maßnahmen nach dem Stand der Technik. Die Richtlinie nennt unter anderem folgende Bereiche:

• Konzepte für Risikoanalyse und Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
• Sicherheit in der Lieferkette
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
• Bewertung der Wirksamkeit von Maßnahmen
• Grundlegende Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Management von Anlagen
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Priorisieren Sie auf Basis Ihrer Risikoanalyse. Für viele KMU sind regelmäßige Updates, ein durchdachtes Rechtekonzept, getestete Backups und Multi-Faktor-Authentifizierung wirksame erste Schritte, etwa gegen Bedrohungen wie Ransomware.

7. Mitarbeitende schulen und sensibilisieren

Technik allein reicht nicht. Viele Sicherheitsvorfälle beginnen mit einer Täuschung von Menschen, etwa über betrügerische E-Mails oder Anrufe. NIS2 nennt Schulungen zur Cybersicherheit ausdrücklich als Bestandteil des Risikomanagements. Ein wirksames Security-Awareness-Training sollte:

• regelmäßig stattfinden statt einmalig
• zielgruppengerecht sein, etwa für Geschäftsleitung, Buchhaltung oder IT
• praxisnah vermitteln, wie verdächtige Nachrichten erkannt und gemeldet werden
• die Fortschritte nachvollziehbar dokumentieren

Ergänzend helfen realitätsnahe, aber sichere Phishing-Simulationen, das Gelernte im Arbeitsalltag zu festigen und den Schulungsbedarf messbar zu machen. Wichtig ist eine positive Fehlerkultur: Ziel ist das Lernen, nicht das Bloßstellen einzelner Personen.

8. Meldeprozesse für Sicherheitsvorfälle etablieren

Für erhebliche Sicherheitsvorfälle sieht NIS2 ein mehrstufiges Meldeverfahren vor: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden sowie einen Abschlussbericht innerhalb eines Monats. Diese Fristen sind nur einzuhalten, wenn die Abläufe vorher feststehen:

1. Wer erkennt und bewertet einen Vorfall?
2. Wer entscheidet über die Meldung an das BSI?
3. Welche Informationen werden benötigt?
4. Wie wird mit parallelen Pflichten umgegangen, etwa Meldungen nach der DSGVO an die Datenschutzaufsicht?

Auch Mitarbeitende brauchen einen einfachen Weg, Verdachtsfälle intern zu melden. Hinweise für den Ernstfall bietet unser Ratgeber Phishing – was tun?

9. Lieferkette und Dienstleister einbeziehen

Ihre Sicherheit hängt auch von Ihren Partnern ab. Prüfen Sie, welche Dienstleister Zugriff auf Systeme oder Daten haben, und berücksichtigen Sie Sicherheitsanforderungen in Verträgen, bei der Auswahl neuer Lieferanten und in regelmäßigen Überprüfungen. Umgekehrt sollten Sie damit rechnen, dass Ihre Kunden, sofern sie selbst NIS2-pflichtig sind, Nachweise zu Ihrer Informationssicherheit anfordern.

10. Dokumentieren, überprüfen, verbessern

Informationssicherheit ist ein fortlaufender Prozess. Halten Sie Richtlinien, Risikoanalysen, Schulungsnachweise und Vorfallsberichte aktuell, denn die Aufsicht kann Nachweise verlangen. Planen Sie regelmäßige interne Überprüfungen, üben Sie Notfallszenarien und passen Sie Maßnahmen an neue Bedrohungen und Veränderungen im Unternehmen an. Verstöße gegen die Pflichten können mit empfindlichen Bußgeldern geahndet werden; eine gute Dokumentation hilft, die eigene Sorgfalt belegen zu können.

Fazit: Strukturiert statt hektisch

NIS2 ist für viele KMU eine Herausforderung, aber auch eine Chance, die eigene Widerstandsfähigkeit systematisch zu stärken. Wer Betroffenheit klärt, die Geschäftsleitung einbindet, Risiken bewertet und Mitarbeitende kontinuierlich schult, schafft eine belastbare Grundlage für die Umsetzung. Beginnen Sie mit den Punkten, die das größte Risiko adressieren, und bauen Sie Ihr Sicherheitsniveau schrittweise aus.

SECMIND unterstützt Unternehmen bei einem zentralen Baustein dieser Checkliste: der Sensibilisierung von Mitarbeitenden und Führungskräften. Mit Security-Awareness-Trainings und Phishing-Simulationen lassen sich Schulungsmaßnahmen regelmäßig durchführen und nachvollziehbar dokumentieren, als Teil eines umfassenden Sicherheitskonzepts.