Betroffene Unternehmen stehen vor der Frage: Was muss ich konkret umsetzen, und in welcher Reihenfolge? NIS2 gibt in Artikel 21 einen verbindlichen Maßnahmenkatalog vor. Dieser Artikel destilliert die Kernanforderungen auf 10 priorisierte Punkte – mit Erklärung, Praxistipps und Hinweisen zur Dokumentation.

Wichtig vorab: NIS2-Compliance entsteht nicht durch die Umsetzung eines einzigen Punktes, sondern durch das Zusammenspiel aller Maßnahmen. Technik, Organisation und Dokumentation müssen gemeinsam betrachtet werden. Lesen Sie hierzu auch gerne Teil 1 und Teil 2 dieser Blogserie.

1. Risikoanalyse und Informationssicherheitsrichtlinie

Die Risikoanalyse ist das Fundament aller NIS2-Maßnahmen. Unternehmen müssen alle wesentlichen IT-Systeme, Daten und Prozesse identifizieren, ihre Kritikalität bewerten und darauf basierend eine schriftliche Informationssicherheitsrichtlinie erstellen. Diese Richtlinie muss mindestens jährlich aktualisiert werden.

Praxistipp: Anerkannte Frameworks wie ISO 27001 oder der BSI IT-Grundschutz liefern bewährte Methodiken für Risikoanalysen und bieten gleichzeitig eine gute Grundlage für die Dokumentation.

2. Incident-Response-Plan erstellen und testen

Was passiert, wenn ein Cyberangriff erfolgreich ist? Ein dokumentierter Incident-Response-Plan regelt: Wer wird informiert, welche Systeme werden isoliert, wie wird Beweissicherung betrieben, wer kommuniziert nach außen? Der Plan muss regelmäßig geübt werden – im Ernstfall zählt jede Minute.

Praxistipp: Tabletop-Exercises (simulierte Angriffsszenarien auf Führungsebene) sind ein kostengünstiger Weg, um den Plan auf Praxistauglichkeit zu testen. Mindestens einmal jährlich durchführen.

3. Meldeprozess für Sicherheitsvorfälle einrichten

NIS2 verpflichtet betroffene Unternehmen, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden beim BSI zu melden. Ein vollständiger Bericht folgt spätestens nach 72 Stunden. Dafür braucht es einen internen Prozess mit klar benannten Verantwortlichen.

Praxistipp: Benennen Sie einen NIS2-Compliance-Beauftragten, der als zentrale Anlaufstelle für BSI-Meldungen fungiert und den Meldeprozess kennt.

4. Multi-Faktor-Authentifizierung (MFA) einführen

MFA ist eine der effektivsten Einzelmaßnahmen gegen unbefugten Zugriff. NIS2 macht sie zur Pflicht für alle kritischen Systeme: E-Mail, VPN, Cloud-Dienste, administrative Zugänge und alle Systeme mit Zugriff auf sensible Daten. Besonders wichtig: privilegierte Konten (Administratoren) müssen priorisiert abgesichert werden.

Praxistipp: Starten Sie mit dem E-Mail-System und administrativen Accounts – hier liegt das größte Kompromittierungsrisiko.

5. Backup- und Wiederherstellungskonzept umsetzen und testen

Backups existieren in den meisten Unternehmen bereits. Was fehlt, ist oft das Wiederherstellungskonzept: Wie schnell können Systeme nach einem Angriff wiederhergestellt werden? Welche Daten haben Priorität? Das 3-2-1-Backup-Prinzip ist der empfohlene Mindeststandard.

Praxistipp: Führen Sie mindestens zweimal jährlich einen Restore-Test durch. Dokumentieren Sie Zeit und Ergebnis. Viele Unternehmen stellen beim Test fest, dass ihre Backups in der Praxis nicht funktionieren.

6. Netzwerksegmentierung umsetzen

Netzwerksegmentierung begrenzt den Schaden, wenn ein Angreifer in ein System eindringt: Er kann sich nicht frei im gesamten Netzwerk bewegen. Besonders wichtig ist die Trennung von Produktionssystemen, Buchhaltung, administrativen Systemen und dem allgemeinen Büronetzwerk.

Praxistipp: Beginnen Sie mit der Trennung der kritischsten Systeme und arbeiten Sie sich schrittweise vor. Eine vollständige Netzwerksegmentierung ist ein Prozess, kein einmaliges Projekt.

7. Lieferkettensicherheit prüfen

NIS2 macht Unternehmen mitverantwortlich für die Cybersicherheit ihrer Zulieferer und IT-Dienstleister. Wer Systemzugriff hat oder sensible Daten verarbeitet, muss auf seine Sicherheitsstandards hin bewertet werden. Das Ergebnis muss vertraglich abgesichert sein.

Praxistipp: Erstellen Sie eine Liste aller Lieferanten und Dienstleister mit Systemzugriff. Versenden Sie Sicherheitsfragebögen und verlangen Sie Nachweise (z. B. ISO-27001-Zertifizierung oder TISAX).

8. Mitarbeiterschulungen durchführen

Phishing ist nach wie vor der häufigste Angriffsvektor. Mitarbeiter sind damit gleichzeitig das größte Risiko und die beste Verteidigung. NIS2 schreibt nachweisbare Schulungsmaßnahmen vor. Diese müssen regelmäßig wiederholt und dokumentiert werden.

Praxistipp: Online-Plattformen ermöglichen skalierbare Schulungen für alle Mitarbeiterebenen. Ergänzen Sie diese durch simulierte Phishing-Tests, um den Lernerfolg zu messen.

9. Schwachstellenmanagement und Penetrationstests

Regelmäßige Scans auf bekannte Sicherheitslücken (CVE-Scans) und mindestens jährliche Penetrationstests helfen, Schwachstellen zu identifizieren, bevor Angreifer sie ausnutzen. Alle gefundenen Schwachstellen müssen priorisiert, behoben und dokumentiert werden.

Praxistipp: Automatisierte Schwachstellenscanner laufen kontinuierlich und erfordern wenig manuellen Aufwand. Der jährliche Penetrationstest durch externe Experten ist eine Pflichtübung für NIS2-pflichtige Unternehmen.

10. Dokumentation und Nachweisbarkeit sicherstellen

Die vielleicht wichtigste Maßnahme: lückenlose Dokumentation. NIS2 verlangt nicht nur Maßnahmen, sondern deren Nachweis. Wer bei einer BSI-Prüfung keine Dokumentation vorlegen kann, riskiert Bußgelder, unabhängig davon, ob die Maßnahmen tatsächlich umgesetzt wurden.

Was dokumentiert werden muss: Risikoanalysen und -bewertungen, alle umgesetzten Sicherheitsmaßnahmen, Schulungsnachweise, Ergebnisse von Audits und Pentests, gemeldete Vorfälle, Lieferantenbewertungen.

Praxistipp: Ein Information Security Management System (ISMS) – als Software oder strukturierte Dokumentenablage – ist das zentrale Werkzeug für nachweisbare NIS2-Compliance.

Häufig gestellte Fragen (FAQ)

Was sind die wichtigsten NIS2-Maßnahmen für kleine Unternehmen?

Für KMU mit begrenzten Ressourcen sind Multi-Faktor-Authentifizierung, regelmäßige Backups mit Restore-Tests und Mitarbeiterschulungen zu Phishing die effektivsten Einstiegspunkte. Diese Maßnahmen haben das beste Kosten-Nutzen-Verhältnis bei der Risikoreduktion.

Muss jede NIS2-Maßnahme sofort umgesetzt sein?

NIS2 ist seit Oktober 2024 verbindlich. Unternehmen, die noch nicht konform sind, sollten unverzüglich einen strukturierten Maßnahmenplan erstellen und diesen gegenüber Behörden als Nachweis ihrer aktiven Compliance-Bemühungen vorlegen.

Was ist ein ISMS und brauche ich es für NIS2?

Ein Information Security Management System (ISMS) ist ein systematischer Ansatz zur Verwaltung von Informationssicherheit. Es ist nicht explizit vorgeschrieben, aber in der Praxis der effektivste Weg, NIS2-Anforderungen zu erfüllen und zu dokumentieren. Standards wie ISO 27001 definieren ein vollständiges ISMS.

Wollen Sie wissen, welche dieser Maßnahmen in Ihrem Unternehmen bereits umgesetzt sind? Jetzt prüfen: www.fme.de/dienstleistungen/business-consulting/nis2/