Welche Mindestmaßnahmen verlangt NIS2 von KMU?

Begriff

Mit „Mindestmaßnahmen" sind die in Art. 21 Abs. 2 der Richtlinie (EU) 2022/2555 aufgelisteten Themenfelder gemeint, die jede erfasste Einrichtung adressieren muss. In Deutschland gilt die Umsetzung in § 30 BSIG unmittelbar.

Wichtig: Die Liste ist ergebnis-orientiert formuliert. Die Richtlinie gibt nicht vor, wie eine Maßnahme technisch umzusetzen ist, nur dass das jeweilige Risiko angemessen behandelt wird. Maßstab ist Art. 21 Abs. 1 NIS2: Unter Berücksichtigung des Stands der Technik, gegebenenfalls einschlägiger europäischer und internationaler Normen sowie der Umsetzungskosten müssen die Maßnahmen ein Sicherheitsniveau gewährleisten, das dem bestehenden Risiko angemessen ist. § 30 Abs. 1 BSIG nennt als Kriterien der Verhältnismäßigkeit Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.

Für die Praxis heißt das: KMU dürfen ihre Umsetzung am tatsächlichen Risiko ausrichten. Eine 50-Mitarbeiter-Spezialwerkstatt braucht keine Air-Gap-Architektur, aber eine systematische Risiko-Bewertung und nachweisbare Schutzmaßnahmen schon.

Die 10 Mindestmaßnahmen im Einzelnen

1. Risikoanalyse- und Sicherheitskonzepte für Informationssysteme

Was das Gesetz verlangt: „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 1 BSIG). Gemeint ist eine systematische Risikoanalyse, die in dokumentierte Sicherheitskonzepte mündet; Bezugspunkt sind Verfügbarkeit, Integrität und Vertraulichkeit der genutzten Systeme (§ 30 Abs. 1 BSIG).

Praxis für 50-250 MA:

• Inventar der schutzwürdigen Assets erstellen (Daten, Systeme, Prozesse).
• Pro Asset eine Schadensklasse und Eintrittswahrscheinlichkeit zuordnen, Format reicht ein einseitiges Excel pro Asset-Klasse.
• Sicherheitskonzept für die Top-Risiken aufschreiben (1-2 Seiten pro Konzept).
• Überprüfungsturnus festlegen und dokumentieren; einen festen Turnus schreibt § 30 BSIG nicht vor.

2. Bewältigung von Sicherheitsvorfällen

Was das Gesetz verlangt: „Bewältigung von Sicherheitsvorfällen“ (§ 30 Abs. 2 Nr. 2 BSIG). Die Richtlinie versteht darunter alle Maßnahmen und Verfahren zur Verhütung, Erkennung, Analyse und Eindämmung von Sicherheitsvorfällen sowie zur Reaktion darauf und Erholung davon (Art. 6 Nr. 8 NIS2). Praktisch umgesetzt wird das meist als Incident-Response-Prozess mit Rollen, Eskalationspfaden und Meldewegen.

Praxis:

• Incident-Response-Playbook erstellen (Trigger, Rollen, Erst-Reaktion, Eskalation, Meldepflicht, Recovery).
• Die frühe Erstmeldung binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls (§ 32 Abs. 1 Nr. 1 BSIG, Art. 23 NIS2) muss in den Prozess eingebaut sein.
• Mindestens jährlich eine Übung („Tabletop-Exercise") durchführen und dokumentieren.

3. Geschäftskontinuität: Backup-Management und Krisenmanagement

Was das Gesetz verlangt: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ (§ 30 Abs. 2 Nr. 3 BSIG).

Praxis:

• Backup-Strategie mit definierten RPO/RTO-Werten je System.
• Backups regelmäßig auf Wiederherstellbarkeit testen, nicht nur auf Existenz.
• Krisenkommunikations-Plan: Wer informiert Kunden, Behörden, Mitarbeitende? Welche Kanäle, wenn das primäre System ausfällt?

4. Sicherheit der Lieferkette

Was das Gesetz verlangt: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ (§ 30 Abs. 2 Nr. 4 BSIG). Nach Art. 21 Abs. 3 NIS2 sind dabei die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter sowie die Qualität ihrer Produkte und Cybersicherheitspraktiken einschließlich sicherer Entwicklungsprozesse zu berücksichtigen.

Praxis:

• Lieferanten-Inventar mit Risiko-Klassifikation.
• Sicherheits-Klauseln in Verträgen mit kritischen Lieferanten (z.B. Recht auf Audit, Meldung von Vorfällen, Mindeststandards).
• Bei Software: Stückliste (SBOM) und Patch-Verfahren mit dem Lieferanten klären.

Die Lieferketten-Anforderung ist auch der Grund, warum Zulieferer ohne eigene NIS2-Pflicht über Verträge indirekt betroffen sein können, siehe „NIS2-Lieferanten: bin ich indirekt betroffen?".

5. Sicherheit von Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen

Was das Gesetz verlangt: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ (§ 30 Abs. 2 Nr. 5 BSIG).

Praxis:

• Beschaffungs-Checkliste mit Sicherheits-Anforderungen (Updates verfügbar, Sicherheits-Konfiguration, EOL-Support).
• Schwachstellen-Management: Patch-Verfahren mit klaren SLAs (kritische Patches z.B. binnen 7 Tagen).
• Bei Eigenentwicklung: Secure-Coding-Praktiken, Code-Reviews, Tests.

6. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risiko­management­maßnahmen

Was das Gesetz verlangt: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 6 BSIG). Es geht um das Schließen des Regelkreises: nicht nur einführen, sondern prüfen, ob die Maßnahmen wirken. Interne Audits, Tests und Reviews sind dafür übliche Mittel.

Praxis:

• Internes Audit-Programm (jährlich, themen-rotierend).
• KPI-Set: Anzahl Vorfälle, MTTR, Patch-Compliance-Quote, Backup-Restore-Erfolgsrate.
• Management-Review mindestens jährlich, mit dokumentierten Maßnahmen.

7. Grundlegende Verfahren im Bereich der Cyber­sicherheits­hygiene und Schulungen

Was das Gesetz verlangt: Art. 21 Abs. 2 lit. g NIS2 nennt „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“, § 30 Abs. 2 Nr. 7 BSIG „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Wer geschult wird und wie oft, legt das Gesetz nicht fest.

Praxis:

• Härtungs-Standards für Endgeräte und Server (CIS-Benchmarks oder BSI-IT-Grundschutz als Vorlage).
• Jährliche Schulung „Cybersicherheits-Awareness" für alle Mitarbeitenden, mit Teilnahme-Nachweis.
• Spezialschulung für IT- und Security-Funktionen.

8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung

Was das Gesetz verlangt: „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“ (§ 30 Abs. 2 Nr. 8 BSIG; Art. 21 Abs. 2 lit. h NIS2: Kryptografie und gegebenenfalls Verschlüsselung). Welche Verfahren und Schlüssellängen, schreibt das Gesetz nicht vor.

Praxis:

• Mindeststandards: TLS 1.2 oder höher für Web/Email; Festplattenverschlüsselung auf Endgeräten; Backup-Verschlüsselung.
• Schlüssel-Verwaltungs-Konzept: Wer hat Zugriff, wie werden Schlüssel rotiert, was passiert bei Kompromittierung.
• Bei sensiblen Daten: End-to-End-Verschlüsselung prüfen.

9. Sicherheit des Personals, Zugriffskontroll-Konzepte und Verwaltung von Anlagen

Was das Gesetz verlangt: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“ (§ 30 Abs. 2 Nr. 9 BSIG). In der Praxis gehören dazu On- und Offboarding, Zugriffskonzepte nach Need-to-Know und Least Privilege sowie ein Asset-Management.

Praxis:

• Onboarding-Checkliste: Background-Check (soweit zulässig), Geheimhaltungs-Vereinbarung, Awareness-Schulung.
• Offboarding-Prozess: Zugänge entziehen, Hardware einziehen, dokumentieren.
• Rollen-/Rechte-Konzept mit regelmäßiger Berechtigungs-Review (z.B. quartalsweise).
• Asset-Register (Hardware, Software, Daten).

10. Multi-Faktor-Authentisierung oder kontinuierliche Authentisierung und sichere Kommunikationsverfahren

Was das Gesetz verlangt: „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“ (§ 30 Abs. 2 Nr. 10 BSIG, Art. 21 Abs. 2 lit. j NIS2). Ein bestimmtes MFA-Verfahren schreibt die Norm nicht vor.

Praxis:

• MFA vorrangig für: Admin-Accounts, VPN/Remote-Access, Cloud-Konsolen, Email für privilegierte Funktionen.
• Für privilegierte Konten App- oder Hardware-Token statt SMS-Codes prüfen; das ist eine Empfehlung, keine gesetzliche Vorgabe.
• Notfall-Kommunikations-Kanal definieren (z.B. signal- oder threema-basiert), falls primäre Systeme ausfallen.

Praxis: Wie KMU mit 50-250 MA das umsetzen

Empfehlung der ComplyCheck-Redaktion zur Umsetzungs-Reihenfolge:

1. Geschäftsleitung einbinden: Sie muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG; Art. 20 NIS2 verlangt zusätzlich die Billigung).
2. Asset- und Risiko-Inventar anlegen (Maßnahme 1 und 9).
3. Basis-Hygiene ausrollen: MFA, Patch-Management, Backup-Test (Maßnahmen 3, 7, 10).
4. Incident-Response dokumentieren und üben (Maßnahme 2).
5. Lieferanten-Sicherheit und Beschaffungs-Standards parallel ausrollen (Maßnahmen 4 und 5).
6. Schulungen und Wirksamkeits-Reviews als laufenden Prozess etablieren (Maßnahmen 6 und 7).

Dauer und Personalbedarf hängen vom Ausgangsniveau und von der Risikoexposition ab; feste Werte gibt das Gesetz nicht vor. Für kleinere Einrichtungen kann ein externer Informationssicherheits-Dienstleister einen Teil der Aufgaben übernehmen, die Verantwortung der Geschäftsleitung nach § 38 BSIG bleibt davon unberührt.

Wer bereits ISO 27001 oder eine vollständige BSI-IT-Grundschutz-Umsetzung betreibt, deckt viele Maßnahmen ab, die NIS2-Spezifika (Meldepflichten, Geschäftsleitungs-Verantwortung) sind aber separat zu adressieren.

FAQ

Müssen alle 10 Maßnahmen gleichzeitig umgesetzt sein?

Die Pflichten aus § 30 BSIG gelten seit Inkrafttreten des NIS2UmsuCG; einen gestuften Zeitplan für die einzelnen Maßnahmen enthält die Norm nicht. Maßstab ist die Verhältnismäßigkeit nach § 30 Abs. 1 BSIG (Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Vorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen), und die Einhaltung ist zu dokumentieren. Eine priorisierte Roadmap mit dokumentierter Risikobewertung hilft, diesen Nachweis zu führen; kritische Lücken sollten zuerst geschlossen werden.

Reicht ISO 27001 als NIS2-Nachweis?

Nicht automatisch. ISO 27001 deckt viele technische und organisatorische Maßnahmen ab, fokussiert aber auf ein Information-Security-Management-System (ISMS). Spezifische NIS2-Pflichten, z.B. die 24-Stunden-Meldepflicht, die Geschäftsleitungs-Verantwortung nach Art. 20 NIS2 bzw. § 38 BSIG oder die konkrete Lieferketten-Verantwortung, müssen darüber hinaus dokumentiert werden. ISO 27001 ist ein starkes Fundament, aber kein vollständiger NIS2-Nachweis.

Was kostet die Umsetzung für einen 100-MA-Betrieb?

Das hängt vom Ausgangsniveau, der Risikoexposition und der vorhandenen IT-Landschaft ab. Belastbare Pauschalwerte gibt es nicht; ein realistischer Rahmen ergibt sich erst aus einer Gap-Analyse und konkreten Angeboten für Beratung, Audits und Werkzeuge. Wer bereits IT-Grundschutz oder ISO 27001 umsetzt, hat einen Teil der Arbeit erledigt.

Was sagt das BSI zur „Verhältnismäßigkeit"?

Den Maßstab setzt § 30 Abs. 1 BSIG: Bei der Verhältnismäßigkeit sind Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen zu berücksichtigen. Eine objektive Schwelle gibt es nicht, der Maßstab ergibt sich aus der Risiko-Bewertung, die jede Einrichtung selbst durchführen und dokumentieren muss.

Müssen die Mindestmaßnahmen jährlich überprüft werden?

Einen festen Turnus schreiben weder Art. 21 NIS2 noch § 30 BSIG vor. Verlangt werden Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen (Art. 21 Abs. 2 lit. f NIS2, § 30 Abs. 2 Nr. 6 BSIG); den Rhythmus legt die Einrichtung selbst fest und begründet ihn, bei wesentlichen Änderungen zusätzlich anlassbezogen. Einen festen Nachweiszyklus von drei Jahren gibt es nur für Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG).