Ein erfolgreicher Angriff beginnt selten mit einer spektakulären Sicherheitslücke. Häufig reichen ein nicht gepflegtes Benutzerkonto, ein unklarer Meldeweg oder ein Backup, das sich im Ernstfall nicht zurückspielen lässt. Mit einer NIS 2 Pflichten Checkliste schaffen Unternehmen deshalb nicht nur regulatorische Orientierung, sondern vor allem belastbare Abläufe für den Betrieb.
NIS 2 betrifft nicht ausschließlich große Konzerne oder Betreiber kritischer Infrastruktur. Auch viele mittelständische Unternehmen können je nach Branche, Größe und Rolle in der Lieferkette erfasst sein. Wer erst nach einem Sicherheitsvorfall prüft, ob Anforderungen gelten, verliert wertvolle Zeit. Sinnvoll ist eine strukturierte Bestandsaufnahme, die rechtliche Einordnung, technische Maßnahmen und Verantwortlichkeiten zusammenführt.
NIS 2 Pflichten Checkliste: Erst den Geltungsbereich klären
Am Anfang steht nicht die Anschaffung eines Sicherheitsprodukts, sondern die Frage: Ist das Unternehmen vom nationalen NIS-2-Umsetzungsgesetz erfasst? Die Einordnung hängt unter anderem von der Branche, der Beschäftigtenzahl, Umsatz- oder Bilanzkennzahlen sowie von besonderen Funktionen für Wirtschaft und Gesellschaft ab. Relevante Sektoren reichen beispielsweise von Energie, Verkehr und Gesundheitswesen bis zu digitalen Diensten, Abfallwirtschaft, Produktion bestimmter Güter und IT-Dienstleistungen.
Mittelständler sollten dabei nicht nur auf die eigene Unternehmensgröße schauen. Tochtergesellschaften, verbundene Unternehmen und die konkrete Dienstleistung können die Bewertung verändern. Auch wer selbst nicht unmittelbar betroffen ist, kann als IT-Dienstleister oder wichtiger Zulieferer mit strengeren Sicherheits- und Nachweisanforderungen seiner Kunden konfrontiert werden.
Für eine belastbare Prüfung gehören diese Punkte auf den Tisch:
- Branche, Unternehmensgröße und Organisationsstruktur dokumentieren
- Leistungen, Standorte und kritische Abhängigkeiten erfassen
- mögliche Einordnung als wichtige oder besonders wichtige Einrichtung prüfen
- gesetzliche Registrierungs-, Melde- und Nachweispflichten bewerten
- Zuständigkeit für die fortlaufende Neubewertung festlegen
Diese Prüfung ist keine einmalige Formalität. Wachstum, neue Geschäftsfelder, Übernahmen oder eine geänderte Rolle in der Lieferkette können die Ausgangslage verändern. Die rechtliche Einordnung sollte daher durch qualifizierte Beratung abgesichert werden. Die technische Umsetzung lässt sich anschließend deutlich gezielter planen.
Die Geschäftsleitung muss Verantwortung übernehmen
NIS 2 verlagert Verantwortung ausdrücklich in die Leitungsebene. Geschäftsführung oder Vorstand können IT-Sicherheit nicht vollständig an die interne IT oder einen externen Dienstleister delegieren. Aufgaben dürfen übertragen werden, die Aufsicht und die Verantwortung für angemessene Maßnahmen bleiben jedoch bei der Leitung.
In der Praxis braucht es einen nachvollziehbaren Beschluss: Welche Sicherheitsziele gelten? Welches Risiko akzeptiert das Unternehmen? Wer berichtet in welchem Rhythmus an die Geschäftsleitung? Und wie werden notwendige Budgets freigegeben? Ohne diese Entscheidungen bleibt Informationssicherheit ein technisches Einzelthema, obwohl sie Geschäftsunterbrechungen, Haftungsfragen und Kundenbeziehungen direkt berührt.
Zur Checkliste gehören ein fester Verantwortlicher für Informationssicherheit, eine Vertretungsregelung und regelmäßige Berichte an die Geschäftsleitung. Ebenso erforderlich sind Schulungen für Leitungspersonen. Entscheidend ist nicht ein Teilnahmezertifikat, sondern die Fähigkeit, Risiken, Prioritäten und Folgen von Entscheidungen einzuordnen.
Risiken kennen, statt nur Technik zu verwalten
NIS 2 fordert ein risikobasiertes Sicherheitsmanagement. Das bedeutet: Nicht jedes System benötigt identische Schutzmaßnahmen. Ein Webauftritt, ein E-Mail-System, eine DATEV-nahe Fachanwendung, die Telefonie und ein Produktionssystem haben unterschiedliche Auswirkungen auf den Geschäftsbetrieb. Maßgeblich sind Vertraulichkeit, Integrität und Verfügbarkeit der jeweiligen Informationen und Prozesse.
Erfassen Sie deshalb zunächst die geschäftskritischen Anwendungen, Datenbestände, Geräte, Benutzergruppen und Dienstleister. Danach bewerten Sie realistische Gefährdungen: Ransomware, Phishing, Ausfall eines Cloud-Dienstes, Fehlkonfigurationen, Verlust mobiler Geräte, unberechtigte Zugriffe oder der Ausfall eines zentralen Standorts. Aus dieser Bewertung entstehen konkrete Maßnahmen mit Priorität, Verantwortlichem und Termin.
Eine gute Risikobewertung bleibt verständlich. Sie muss nicht aus einem umfangreichen Handbuch bestehen. Für kleine und mittlere Unternehmen ist oft ein sauber gepflegtes Risikoregister wirksamer als ein komplexes Regelwerk, das niemand im Arbeitsalltag nutzt. Wichtig ist, dass Entscheidungen und Restrisiken dokumentiert sind.
Sicherheitsmaßnahmen technisch und organisatorisch umsetzen
Die Richtlinie nennt Maßnahmenfelder, die in ein stimmiges Gesamtkonzept gehören. Welche Tiefe erforderlich ist, hängt von Risiko, Unternehmensgröße und vorhandener IT-Landschaft ab. Eine Arztpraxis hat andere kritische Prozesse als ein produzierender Betrieb. Beide brauchen aber eine nachvollziehbare Grundlage.
Die folgende NIS 2 Pflichten Checkliste hilft bei der Umsetzung:
- Ein Informationssicherheitskonzept mit Richtlinien für Passwörter, mobile Arbeit, Berechtigungen und den Umgang mit Daten etablieren.
- Systeme, Anwendungen und Netzwerkkomponenten inventarisieren und für Betriebssysteme, Firewall, Clients und Fachanwendungen verbindliche Patch-Prozesse festlegen.
- Mehrfaktor-Authentifizierung insbesondere für E-Mail, Fernzugriffe, Administrationskonten und Cloud-Dienste einsetzen.
- Berechtigungen nach Rollen vergeben, privilegierte Konten besonders schützen und Ein- sowie Austritte von Mitarbeitenden zeitnah steuern.
- Backups nach einem dokumentierten Konzept erstellen, getrennt aufbewahren und die Wiederherstellung regelmäßig testen.
- Schutz vor Schadsoftware, sichere E-Mail-Konfiguration, Protokollierung und Überwachung kritischer Systeme einrichten.
- Notfall-, Krisen- und Wiederanlaufpläne erstellen und mit realistischen Szenarien üben.
- Sicherheitsanforderungen bei Beschaffung, Einführung, Wartung und Ablösung von Software und Hardware berücksichtigen.
Ein häufiges Missverständnis: Multifaktor-Authentifizierung, Endpoint-Schutz oder Microsoft 365 allein erfüllen NIS 2 nicht. Sie sind Bausteine. Entscheidend ist ihr Zusammenspiel mit klaren Verfahren, geschulten Mitarbeitenden und überprüfbaren Nachweisen.
Lieferanten und Cloud-Dienste mit einbeziehen
Kaum ein Unternehmen betreibt seine IT vollständig selbst. Cloud-Anbieter, Managed-Service-Partner, Softwarehäuser, Telekommunikationsanbieter und externe Fachadministratoren erhalten oft Zugriff auf Systeme oder Daten. Damit wird Lieferkettensicherheit zu einem praktischen Teil der eigenen Risikovorsorge.
Prüfen Sie, welche Dienstleister für den Betrieb unverzichtbar sind und welche Sicherheitszusagen vertraglich vereinbart wurden. Dazu gehören Ansprechpartner für Sicherheitsvorfälle, Reaktionszeiten, Regelungen zu Unterauftragnehmern, Zugriffskontrollen, Datensicherung sowie Unterstützungsleistungen im Notfall. Bei besonders kritischen Services sollte auch geklärt sein, wie ein Anbieterwechsel oder eine Rückführung von Daten möglich wäre.
Das bedeutet nicht, jeden Lieferanten mit einem umfangreichen Fragebogen zu überziehen. Der Aufwand muss zum Risiko passen. Für einen Dienstleister mit administrativem Fernzugriff gelten nachvollziehbar strengere Anforderungen als für einen Anbieter ohne System- oder Datenzugang.
Vorfälle erkennen und fristgerecht melden
Ein Sicherheitsvorfall ist nicht erst dann relevant, wenn alle Systeme verschlüsselt sind. Auch ein erfolgreicher Angriff auf ein E-Mail-Konto, ein Datenabfluss oder ein längerer Ausfall einer zentralen Anwendung kann meldepflichtig werden. Deshalb braucht das Unternehmen einen Ablauf, der außerhalb der regulären Bürozeiten funktioniert.
Definieren Sie, wer einen Vorfall annimmt, wer die technische Bewertung vornimmt, wer die Geschäftsleitung informiert und wer eine Meldung an die zuständige Stelle veranlasst. Nach NIS 2 gelten für erhebliche Vorfälle enge Fristen: eine Frühwarnung grundsätzlich innerhalb von 24 Stunden, eine weiterführende Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Die konkreten Anforderungen des deutschen Rechts und der zuständigen Behörde sind dabei maßgeblich.
Bereiten Sie Meldevorlagen vor. Sie sollten mindestens Zeitpunkt, betroffene Systeme, vermutete Ursache, Auswirkungen, bereits ergriffene Maßnahmen und einen Ansprechpartner enthalten. Ebenso wichtig ist die Kommunikation nach innen: Mitarbeitende müssen wissen, dass sie verdächtige E-Mails, ungewöhnliche Anmeldeversuche oder Systemausfälle sofort melden sollen, ohne erst eine technische Diagnose liefern zu müssen.
Nachweise schaffen und Wirksamkeit prüfen
Im Ernstfall zählt nicht nur, ob eine Maßnahme geplant war, sondern ob sie wirksam funktioniert hat. Dokumentieren Sie deshalb Richtlinien, Risikoanalysen, Schulungen, Patch- und Berechtigungsprozesse, Backup-Tests, Notfallübungen sowie Entscheidungen der Geschäftsleitung. Diese Unterlagen unterstützen Prüfungen und erleichtern zugleich die tägliche Zusammenarbeit zwischen Fachbereichen, IT und externen Partnern.
Planen Sie regelmäßige Kontrollen ein. Funktioniert die Wiederherstellung wirklich? Sind ausgeschiedene Mitarbeitende deaktiviert? Werden kritische Updates in der festgelegten Frist eingespielt? Haben sich neue Cloud-Dienste oder Schatten-IT entwickelt? Solche Fragen machen aus einer einmaligen Checkliste ein steuerbares Sicherheitsmanagement.
Gerade im Mittelstand ist ein pragmatischer Start sinnvoll: kritische Systeme absichern, Verantwortlichkeiten festlegen, Meldewege testen und die größten Lücken schließen. Danach lässt sich das Sicherheitsniveau schrittweise weiterentwickeln. Wer NIS 2 als Anlass nimmt, die eigene IT nachvollziehbar zu organisieren, reduziert nicht nur regulatorische Risiken, sondern schafft mehr Handlungsfähigkeit für den nächsten Störfall.