NIS2-Umsetzung in 5 Schritten: Praxisleitfaden für den Mittelstand

Von Tobias Massow · 8. Oktober 2024 · 3 Minuten Lesezeit

NIS2 wirkt komplex, lässt sich aber in fünf strukturierte Schritte herunterbrechen. Dieser Leitfaden richtet sich an IT-Leiter und CISOs im Mittelstand, die pragmatisch und budgetbewusst umsetzen wollen.

Das Wichtigste in Kürze

NIS2 wirkt komplex, lässt sich aber in fünf strukturierte Schritte herunterbrechen: Betroffenheit prüfen, Gap-Analyse durchführen, Massnahmen priorisieren, implementieren und dokumentieren. Dieser Leitfaden richtet sich an IT-Leiter und CISOs im Mittelstand.

Schritt 1: Betroffenheit prüfen

Prüfen Sie zwei Kriterien:

Sektor: Gehört Ihr Unternehmen zu einem der 18 regulierten Sektoren?
Größe: Über 50 Mitarbeiter ODER über 10 Mio. EUR Jahresumsatz?

Wenn beide Kriterien zutreffen, sind Sie betroffen. Tipp: Das BSI stellt einen Online-Betroffenheitscheck bereit. Vertiefend dazu: NIS2-Umsetzung.

Schritt 2: Gap-Analyse

Vergleichen Sie Ihren Ist-Stand mit den NIS2-Anforderungen:

Risikomanagement-Framework vorhanden? (ISO 27001 deckt vieles ab)
Incident-Response-Plan aktüll und getestet?
Business Continuity Management dokumentiert?
Supply-Chain-Security bewertet?
Meldeprozesse für 24h/72h-Fristen definiert?
Geschäftsführung in Cybersecurity-Schulung eingebunden?

Schritt 3: Massnahmen priorisieren

Sortieren Sie Ihre Lücken nach drei Kriterien:

Compliance-Pflicht: Meldeprozesse und Risikomanagement zürst
Risikoreduktion: Größte Risiken zürst adressieren
Quick Wins: Massnahmen mit geringem Aufwand und hoher Wirkung vorziehen

Schritt 4: Implementieren

Typische Massnahmen für den Mittelstand:

Multi-Faktor-Authentifizierung für alle Zugänge einführen
Netzwerksegmentierung zwischen IT und OT
EDR-Lösung auf allen Endpoints ausrollen
Regelmäßige Vulnerability Scans einrichten
Incident-Response-Plan erstellen und testen
Security-Awareness-Schulungen quartalsweise
Lieferanten-Risikobewertung für Top-20-Zulieferer

Schritt 5: Dokumentieren und Nachweisen

NIS2 verlangt nachweisfähige Dokumentation. Das bedeutet:

Risikobewertungen schriftlich dokumentieren
Massnahmen-Umsetzung mit Zeitstempeln nachvollziehbar machen
Schulungsteilnahmen protokollieren (besonders Geschäftsführung!)
Incident-Response-Tests dokumentieren
Lieferantenbewertungen archivieren

Key Facts

5 Schritte: Betroffenheit, Gap-Analyse, Priorisierung, Umsetzung, Dokumentation

ISO 27001 deckt ca. 70% der NIS2-Anforderungen ab

MFA und EDR sind die wichtigsten Quick Wins

Geschäftsführerschulung ist Pflicht, nicht Kür

BSI-Betroffenheitscheck online verfügbar

Fakt: Geschäftsführer haften nach NIS2 persönlich für die Umsetzung der Cybersecurity-Anforderungen.

Fakt: NIS2 sieht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Häufige Fragen

Reicht ISO 27001 für NIS2-Compliance?

Nein, aber es ist eine sehr gute Basis. Ergänzend brauchen Sie insbesondere die spezifischen Meldepflichten (24h/72h), die Supply-Chain-Anforderungen und die explizite Geschäftsführerhaftung abzubilden.

Was kostet die NIS2-Umsetzung für ein mittelständisches Unternehmen?

Stark abhängig vom Ist-Stand. Unternehmen mit bestehendem ISMS (ISO 27001) rechnen mit 50.000-150.000 EUR. Ohne Basis-Framework sind 200.000-500.000 EUR realistisch für die initiale Umsetzung.

Weiterführende Artikel

NIS2-Richtlinie: Was Unternehmen wissen müssen

Cyber-Versicherung 2026

Zero Trust: Die 7 häufigsten Fehler

Wie unterscheidet sich NIS2 von der DSGVO?

Die DSGVO schützt personenbezogene Daten, NIS2 sichert die Cybersecurity von Netzwerken und Informationssystemen. NIS2 verlangt technische und organisatorische Maßnahmen, Meldepflichten innerhalb von 24 Stunden und regelmäßige Risikobewertungen – mit deutlich kürzeren Fristen als die DSGVO.