NIS-2 für KMU — die 4-Wochen-Roadmap für Geschäftsführer

NIS-2 ist seit dem 17. Oktober 2024 in Deutschland in Kraft (NIS2UmsuCG). 70 % der betroffenen 30.000 KMU sind 18 Monate später noch nicht compliant (Bitkom-Umfrage 2026). Beratungshäuser bieten 80.000-€-Compliance-Projekte an. Für einen 80-MA-Mittelständler ist das absurd. Hier die pragmatische 4-Wochen-Eigen-Umsetzung.

Woche 1: Status-Quo + Risikoanalyse

Tag 1-2: Betroffenheit klären

Erst zwingend zu klärende Frage: Ist dein Unternehmen NIS-2-pflichtig? Kriterien: 50+ MA ODER 10+ Mio. € Umsatz UND einer der 18 Sektoren in Annex I/II. Wenn unsicher: BSI-Self-Check unter bsi.bund.de/nis2-check. Konzern-Aggregation: Schwester-Gesellschaften zusammenrechnen.

Tag 3-5: Quick-Win-Risikoanalyse

Keine 200-Seiten-Risikoanalyse jetzt. Stattdessen: 1 Excel mit den Top-20-Risiken. Spalten: Asset (Server, Mail, Kundendaten, ERP), Bedrohung (Ransomware, Phishing, Insider, DDoS), Wahrscheinlichkeit 1-5, Schadensausmaß 1-5, Risiko (Produkt). Sortieren — Top 10 ist deine Q1-2026-Arbeitsliste.

Woche 2: Sofort-Maßnahmen

Multifaktor-Authentifizierung Pflicht ausrollen

NIS-2 verlangt MFA für privilegierte Konten. Konkret: Admin-Accounts (Microsoft 365, AWS, Git, ERP-Admin) und alle Konten der Geschäftsleitung. Tool: Microsoft Authenticator (kostenlos für M365), Authy oder YubiKey (Hardware, 50 € pro Person). Roll-out 1 Woche.

Backup-Konzept prüfen

3-2-1-Regel: 3 Kopien, 2 Speichermedien, 1 offline. Ransomware-Schutz funktioniert nur mit offline-Backup. Test: tatsächliche Wiederherstellung einer wichtigen Datei aus einem Backup. Wenn das nicht geht in unter 4 Stunden, hast du kein funktionierendes Backup.

Patch-Hygiene

Alle Server, Workstations, Mobil-Geräte auf aktuelle Patches bringen. Auto-Update einrichten wo möglich. Outdated-Software-Inventar erstellen (Tool: WSUS, Lansweeper oder Tanium). Kritische CVE-Liste (BSI-Warnungen) abonnieren.

Woche 3: Organisatorische Pflichten

Cyber-Sicherheits-Beauftragten benennen

Nicht der IT-Leiter — der ist operativ. Cyber-Sicherheits-Beauftragter ist Aufsichts-Funktion. Idealerweise externe Person (Compliance-Officer Outsourcing 800-1.500 €/Monat) oder eine Stelle in der HR/Compliance-Abteilung. Schriftlich bestellen, Befugnisse + Berichtspflichten festlegen.

Incident-Response-Plan

BSI-Template anpassen (bsi.bund.de hat Vorlage). Mindest-Inhalt: wer wird wann informiert (24h-Frist!), welche externen Stellen (Anwälte, Forensiker, BSI, Versicherung), wie wird isoliert (Netzwerk-Trennung), wie wird kommuniziert (intern/extern/Behörde). Tabletop-Übung 2-Stunden, dann fertig.

Lieferanten-Bewertung

Top-10-Lieferanten (nach IT-Risiko): Cloud-Provider, ERP-Anbieter, Mail-Provider, Backup-Dienst, Telekommunikation. Pro Lieferant: ISO 27001-Zertifikat fordern, AVV nach DSGVO, NIS-2-Klausel im Vertrag. Falls kein Zertifikat: Risiko-Mitigationen oder Lieferant wechseln.

Woche 4: Schulung + Dokumentation

Mitarbeiter-Schulung roll-outen

Alle Beschäftigten: Awareness-Modul 45-60 Min (Phishing, MFA, Datenschutz, Incident-Meldung). Geschäftsleitung extra: 60-Min-Modul zu NIS-2-Pflichten + persönlicher Haftung. Tracking + Audit-Trail dokumentieren — das ist das, was BSI bei Prüfung anschaut.

Sicherheits-Konzept dokumentieren

Kein 200-Seiten-Werk — ein 20-30-Seiten-Dokument mit: Geltungsbereich, Risikoanalyse-Zusammenfassung, technische Maßnahmen, organisatorische Maßnahmen, Incident-Response-Verfahren, Schulungs-Plan, Audit-Plan. Geschäftsführung unterschreibt persönlich.

Compliance-Erklärung an BSI

Bis Q4 2026 Selbst-Auskunft an BSI: Sie müssen erklären, dass Sie die NIS-2-Pflichten umgesetzt haben. Formular wird im BSI-Portal verfügbar sein. Unwahre Angaben sind strafrechtlich relevant — also nur unterschreiben was tatsächlich umgesetzt ist.

Was im Q2/Q3 2026 zusätzlich kommen muss

• Penetration-Test (jährlich, ca. 8.000-15.000 €)
• SIEM-System (Splunk, Elastic, Wazuh als Open-Source ab 0 €)
• Vulnerability-Management (Tenable, Qualys, ab 8.000 €/Jahr)
• Cyber-Versicherung anpassen (NIS-2-Bußgelder oft ausgeschlossen — neu verhandeln)
• Quartärliche Phishing-Simulationen
• Quartärliches Awareness-Modul (10-15 Min)

Fazit

NIS-2 sieht auf den ersten Blick groß aus. In Wahrheit ist es eine 4-Wochen-Erstumsetzung + kontinuierliche Pflege, die Geschäftsleitung + 1-2 dedicated Personen schaffen können. Wer das in 80.000-€-Beraterprojekte umwandelt, finanziert Beraterhonorar — nicht Cyber-Sicherheit. Geschäftsleitung haftet persönlich. Das ist Druck genug, die Sache selbst in die Hand zu nehmen.