NIS2 Tools-Stack: Was reicht für KMU?

Die Formulierung „Was reicht?" greift für eine seriöse Bewertung zu kurz. Maßgeblich für die Auswahl eines Tool-Stacks sind Sektor, Schutzbedarf, IT-Architektur und das Risikoprofil. Dieser Beitrag beschreibt einen in KMU verbreiteten Aufbau-Rahmen entlang der NIS2-Mindestmaßnahmen, ohne Empfehlung einzelner Produkte als pauschalen Mindeststandard.

Welche regulatorischen Vorgaben sind einschlägig?

Art. 21 Abs. 2 NIS2 enthält den Katalog der Mindestmaßnahmen; in Deutschland ist er in § 30 Abs. 2 BSIG mit zehn Nummern umgesetzt. Tool-relevant sind insbesondere:

• lit. b: Bewältigung von Sicherheitsvorfällen, verlangt Erkennungs- und Reaktionsfähigkeit (Endpoint-Detection, Logging).
• lit. c: Geschäftskontinuität, Backup-Management und Krisenmanagement.

• lit. e: Sicherheit beim Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen (Schwachstellen-Management).
• lit. f: Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen.
• lit. g: grundlegende Verfahren der Cyber-Hygiene und Cybersicherheits-Schulungen.
• lit. h: Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung.
• lit. i: Sicherheit des Personals, Zugriffskontrolle und Asset-Management.
• lit. j (§ 30 Abs. 2 Nr. 10 BSIG): Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme.

Der BSI IT-Grundschutz strukturiert die technische Umsetzung in den Bausteinen SYS (Systeme), NET (Netze), DER (Detektion und Reaktion) und ORP (Organisation und Personal). Art. 32 DSGVO ergänzt für personenbezogene Verarbeitungen die Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit.

Welche Konstellation passt zu deinem Unternehmen?

Die angemessene Tool-Tiefe hängt vom regulatorischen und technischen Profil ab:

• Besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG): Das BSIG schreibt ihr kein SIEM und keinen SOC vor. Die Pflicht, Systeme zur Angriffserkennung einzusetzen, trifft nur Betreiber kritischer Anlagen (§ 31 Abs. 2 BSIG). Eine erweiterte Detektions- und Reaktions-Tiefe kann sich aber aus der eigenen Risikoanalyse ergeben.
• Wichtige Einrichtung mit überschaubarer IT-Landschaft: Ein modularer Stack auf Basis verbreiteter Endpoint- und Cloud-Sicherheits-Produkte deckt viele der Anforderungen ab; die Wirksamkeitsbewertung nach Art. 21 Abs. 2 lit. f NIS2 ist gesondert zu strukturieren.

• Mischflotte (Windows, macOS, Linux, mobile Geräte): Plattform-unabhängige Lösungen sind häufig pragmatischer als Microsoft- oder Apple-zentrierte Produkte.
• Microsoft-365-zentriertes Setup ohne Spezial-Anforderungen: Die in Microsoft 365 Business Premium und in den Defender-Produkten enthaltenen Sicherheits-Funktionen decken eine Teilmenge der Maßnahmen ab, die konkrete Abdeckungsquote hängt von Konfiguration und tatsächlicher Nutzung ab.
• Industrie-Setup mit OT-/ICS-Komponenten: Spezifische OT-Sicherheits-Tools (z.B. Asset-Discovery für Steuerungstechnik) sind regelmäßig zusätzlich erforderlich; reine IT-Tools decken OT nicht vollständig ab.

Welcher Aufbau-Rahmen ist verbreitet?

In einer KMU-Konstellation ohne sektorale Verschärfung sind die folgenden Kategorien verbreitet, jeweils mit Markt-Beispielen, nicht als Pauschal-Empfehlung:

Endpoint-Schutz mit Detection-Funktion (EDR): Art. 21 Abs. 2 lit. b NIS2 (§ 30 Abs. 2 Nr. 2 BSIG) nennt keine bestimmte Technik. Nach redaktioneller Einschätzung liefert ein rein signaturbasierter Virenschutz aber wenig Grundlage für die Erkennung und Bewältigung von Vorfällen, weshalb EDR-Funktionen verbreitet sind. Verbreitet sind Microsoft Defender for Endpoint (in einigen Microsoft-365-Lizenzen enthalten), Sophos Intercept X, Crowdstrike Falcon oder vergleichbare Lösungen. Auswahl abhängig von Plattform-Mix, vorhandenem Management-Aufwand und Reporting-Anforderungen. Kosten: Endpunkte × Lizenzpreis je Monat laut Preisliste; in manchen Microsoft-365-Lizenzen ist ein EDR-Produkt bereits enthalten.

Identity-Management mit Multi-Faktor-Authentifizierung (MFA): Art. 21 Abs. 2 lit. j NIS2 (§ 30 Abs. 2 Nr. 10 BSIG) nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung ausdrücklich, ohne Beschränkung auf bestimmte Zugänge. In Microsoft 365 und Google Workspace ist MFA enthalten, die effektive Nutzung setzt eine entsprechende Conditional-Access- oder Context-Aware-Access-Konfiguration voraus. Für komplexere Berechtigungsstrukturen werden eigenständige IAM-Lösungen wie Okta, JumpCloud, Microsoft Entra ID oder vergleichbare eingesetzt. Push- oder TOTP-basierte Authenticator-Verfahren sind nach aktuellem Stand der Technik den SMS-basierten Verfahren vorzuziehen (NIST SP 800-63B).

Backup mit Restore-Verifikation: Nach Art. 21 Abs. 2 lit. c NIS2 (§ 30 Abs. 2 Nr. 3 BSIG) und BSI-Baustein CON.3 ist ein dokumentiertes Sicherungskonzept mit definierten Wiederherstellungszielen (RTO/RPO) erforderlich. Verbreitete Markt-Lösungen: Veeam, Acronis Cyber Protect, Synology Active Backup, Microsoft 365 Backup-Lösungen Dritter, die Auswahl hängt von Datenvolumen, RPO und Aufbewahrungsanforderungen ab. Eine regelmäßige Restore-Verifikation (Stichprobe) ist methodisch erforderlich, nicht optional.

Logging und Monitoring: Die Wirksamkeitsbewertung nach Art. 21 Abs. 2 lit. f NIS2 setzt eine strukturierte Auswertungs-Grundlage voraus. In KMU-Konstellationen ist das häufig eine Kombination aus den Logs der eingesetzten EDR-Lösung und den zentralen Audit-Logs der Cloud-Plattformen (z.B. Microsoft Purview, Google Workspace Audit). Volle SIEM-Lösungen (Microsoft Sentinel, Splunk, Elastic, Crowdstrike LogScale) rechnen sich regelmäßig erst ab größeren Strukturen oder bei sektoraler Pflicht.

Awareness-Trainingsstruktur: § 30 Abs. 2 Nr. 7 BSIG (Art. 21 Abs. 2 lit. g NIS2) verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen; für die Geschäftsleitung schreibt § 38 Abs. 3 BSIG regelmäßige Schulungen vor. Markt-Lösungen wie Hornetsecurity Security Awareness Service, KnowBe4, Sophos Phish Threat oder vergleichbare Plattformen kombinieren E-Learning mit simulierten Phishing-Tests. Nach § 30 Abs. 1 Satz 3 BSIG ist die Einhaltung der Maßnahmen zu dokumentieren, dazu gehören auch die Schulungs- und Sensibilisierungsmaßnahmen nach Nr. 7. Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits und Nachweise anordnen (§ 61 BSIG); bei wichtigen Einrichtungen kann es die Einhaltung überprüfen, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen (§ 62 BSIG).

Welche Konstellationen erfordern abweichendes Vorgehen?

Der hier beschriebene Aufbau-Rahmen ist nicht ausreichend, sofern eine der folgenden Konstellationen vorliegt:

• Betreiber kritischer Anlagen: § 31 Abs. 2 BSIG verlangt Systeme zur Angriffserkennung, die Parameter aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten; hinzu kommt die Nachweispflicht nach § 39 BSIG (Audits, Prüfungen oder Zertifizierungen alle drei Jahre). Das geht in der Regel über den hier beschriebenen Stack hinaus.
• Einrichtungen mit OT/ICS-Anteilen (z. B. Energie und Wasser aus Anlage 1 BSIG oder Fertigung im Maschinenbau nach Anlage 2 Nr. 5.4 BSIG): Reine IT-Sicherheits-Tools decken die OT-Sicherheit nicht vollständig ab; sektorspezifische Lösungen sind regelmäßig zusätzlich erforderlich.

• Finanzunternehmen unter DORA: Für sie gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 1 BSIG). Maßgeblich ist das IKT-Risikomanagement nach Kapitel II der Verordnung (EU) 2022/2554 (Art. 5 bis 16 DORA).
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Verschärfte Verschlüsselungs- und Zugriffskontrolle-Anforderungen können über den Standard-KMU-Stack hinausgehen.
• Konzern-Einbindung mit zentralisiertem Security-Operations-Modell: Eine eigenständige KMU-Stack-Auswahl ist dann typischerweise nicht zweckmäßig; die Konzern-Vorgaben sind maßgeblich.

Nächster Schritt

Eine erste Einordnung des voraussichtlichen Pflichten-Umfangs liefert der NIS2-Scope-Check. Daraus ergibt sich die angemessene Stack-Tiefe und die Priorisierung der einzelnen Tool-Kategorien.

Für die konkrete Produktauswahl, insbesondere bei sektorspezifischen Anforderungen, ist eine begleitende Beratung durch eine spezialisierte IT-Sicherheits-Beratung oder einen qualifizierten IT-Dienstleister regelmäßig sinnvoll. Die hier dargestellten Produkt-Beispiele sind redaktionell aufbereitet und ersetzen keine produktbezogene Eignungsprüfung.

Hintergrund zu den zehn Maßnahmen aus § 30 Abs. 2 BSIG: Welche Mindestmaßnahmen verlangt NIS2 von KMU?.