NIS2-Konformität für KMU: Ein Praxisleitfaden zur Ermittlung von Lücken, Priorisierung von Risiken und Umsetzung der Anforderungen

Mit NIS2 steigen die Anforderungen an die Cybersecurity und organisatorische Resilienz vieler Unternehmen deutlich. Während große Organisationen bereits über etablierte Informationssicherheitsstrukturen verfügen, stehen viele mittelständische Unternehmen vor einer anderen Situation: Sie müssen neue regulatorische Anforderungen erfüllen, ohne dafür eigene Compliance-Abteilungen oder große Security-Teams zur Verfügung zu haben.

Dabei entsteht häufig der Eindruck, dass NIS2 vor allem Bürokratie, Dokumentationsaufwand und neue Verpflichtungen bedeutet. Tatsächlich verfolgt die Richtlinie jedoch ein anderes Ziel: Unternehmen sollen nachweisbar in der Lage sein, Cyberrisiken zu erkennen, angemessen zu behandeln, auf Sicherheitsvorfälle vorbereitet zu sein und im schlimmsten Fall schnellstmöglich ihre Arbeitsfähigkeit wiederherzustellen. Die zentrale Frage lautet deshalb nicht, ob NIS2 umgesetzt werden muss, sondern wie dies realistisch, wirksam und dauerhaft gelingen kann.

Viele Unternehmen starten mit denselben Fragen:

• Betroffenheit: Sind wir von den Anforderungen betroffen und welche gelten für uns?
• Ist-Stand: Wo stehen wir aktuell und wo bestehen Lücken?
• Prioritäten: Welche Anforderungen sind besonders kritisch und wo sollten wir beginnen?
• Aufwand: Welche Maßnahmen sind erforderlich und welcher Aufwand entsteht daraus?
• Verantwortung: Wer ist für die Umsetzung und Steuerung verantwortlich?

Gleichzeitig treffen die neuen Anforderungen auf eine Realität, die viele Mittelständler kennen: knappe Budgets, ausgelastete IT-Teams und zahlreiche parallel laufende Projekte. Dadurch entsteht häufig ein Spannungsfeld zwischen regulatorischen Vorgaben und operativer Umsetzbarkeit. Während die Anforderungen umfangreich erscheinen, fehlen oft klare Prioritäten, welche Maßnahmen zuerst umgesetzt werden sollten.

Hinzu kommt, dass viele Unternehmen bereits über einzelne Sicherheitsmaßnahmen verfügen, ohne genau zu wissen, wie diese in Bezug auf NIS2 einzuordnen sind. Oft existieren bereits Richtlinien, Notfallpläne, technische Schutzmaßnahmen oder definierte Prozesse. Es fehlt jedoch die Transparenz darüber, welche Anforderungen dadurch bereits erfüllt werden und an welchen Stellen noch Lücken bestehen.

Die Herausforderung liegt daher selten darin, bei null zu beginnen. Viel häufiger müssen bestehende Maßnahmen bewertet, strukturiert und in einen nachvollziehbaren Gesamtzusammenhang gebracht werden. Gerade das macht die Umsetzung für Verantwortliche so anspruchsvoll. Sie müssen zugleich regulatorische Anforderungen verstehen, organisatorische Veränderungen anstoßen und technische Risiken bewerten.

Die Folge: Unsicherheit, Verzögerungen und das Gefühl, nicht zu wissen, wo der richtige Einstiegspunkt liegt. Ohne eine klare Priorisierung besteht außerdem die Gefahr, dass viel Zeit und Budget in Maßnahmen investiert werden, die aktuell nur einen geringen Beitrag zur tatsächlichen Risikoreduzierung leisten.

Ein häufiger Fehler besteht darin, NIS2 als reines IT-Projekt zu betrachten. Tatsächlich betrifft die Richtlinie weit mehr als Firewalls, Endpoint-Schutz oder technische Sicherheitslösungen. Auch Risikomanagement, Verantwortlichkeiten, Lieferantenmanagement, Notfallvorsorge, Sicherheitsbewusstsein und Dokumentation spielen eine wichtige Rolle. Ein großer Teil der Unternehmen beginnen deshalb mit umfangreichen Analysen oder langen Maßnahmenlisten. Diese schaffen zwar Transparenz, beantworten aber oft nicht die entscheidende Frage: 

Welche Maßnahmen bringen jetzt den größten Nutzen für Sicherheit und Compliance? 

Ohne Priorisierung entstehen schnell Listen mit dutzenden offenen Punkten. Verantwortliche fühlen sich überfordert, Entscheidungen werden aufgeschoben und wichtige Maßnahmen geraten ins Stocken. 

Fehler 1: Alles gleichzeitig angehen 

Wer versucht, sämtliche Anforderungen parallel umzusetzen, benötigt schnell mehr Ressourcen als verfügbar sind. Effektiver ist es, Risiken und Maßnahmen schrittweise zu priorisieren. 

Fehler 2: Compliance und Sicherheit verwechseln 

Vollständige Dokumentation allein schützt nicht vor Cyberangriffen. Gleichzeitig reichen moderne Sicherheitslösungen ohne nachvollziehbare Prozesse ebenfalls nicht aus. Beides muss zusammen betrachtet werden. 

Fehler 3: Bestehende Strukturen ignorieren 

Manche Firmen verfügen bereits über Sicherheitsmaßnahmen, Richtlinien oder etablierte Prozesse. Werden diese nicht berücksichtigt, entsteht unnötiger Aufwand durch Doppelarbeit. 

Fehler 4: Keine klaren Verantwortlichkeiten definieren 

NIS2 betrifft verschiedene Bereiche eines Unternehmens. Fehlen feste Zuständigkeiten, verzögern sich Entscheidungen und Maßnahmen verlieren an Verbindlichkeit. 

Fehler 5: Die Umsetzung als einmaliges Projekt sehen 

Cybersecurity und Resilienz sind keine Zustände, die einmal erreicht und anschließend als “erledigt” angesehen werden können. Prozesse müssen regelmäßig überprüft, angepasst und weiterentwickelt werden. 

Die Herausforderungen bei der NIS2-Umsetzung entstehen selten durch einzelne Anforderungen. Meist ist es die Kombination aus regulatorischen Vorgaben, begrenzten Ressourcen und fehlender Orientierung, die Projekte ins Stocken bringt. Ein Blick auf typische Ausgangssituationen zeigt, an welchen Stellen Unternehmen zuerst ansetzen können und welche Schritte zu Beginn besonders wichtig sind.

Die Tabelle zeigt, dass viele Herausforderungen nicht durch zusätzliche Tools entstehen oder gelöst werden. In vielen Fällen sind zunächst Transparenz, Priorisierung und klare Verantwortlichkeiten wichtiger als neue Technologien. 

Nicht jede Maßnahme hat denselben Einfluss auf die Resilienz eines Unternehmens. Wer versucht, jeden Punkt gleichzeitig anzugehen, verliert schnell den Überblick und bindet Ressourcen an Stellen, die aktuell nur begrenzten Nutzen bringen. 

Für die meisten Unternehmen ist es sinnvoller, zunächst die Bereiche zu stärken, die als Fundament für weitere Maßnahmen dienen. Sind Verantwortlichkeiten geklärt, Risiken transparent und Prozesse dokumentiert, lassen sich weitere Anforderungen einfacher umsetzen. Die folgenden Handlungsfelder haben deshalb einen besonderen Stellenwert: 

Governance und Verantwortlichkeiten 

Informationssicherheit benötigt klare Zuständigkeiten. Wer Entscheidungen trifft, Risiken bewertet und Maßnahmen steuert, sollte eindeutig definiert sein. Fehlen feste Verantwortlichkeiten, bleiben Aufgaben liegen, Entscheidungen verzögern sich oder wichtige Themen werden zwischen verschiedenen Bereichen hin und her geschoben. 

Notfallvorsorge und Einhaltung der Meldefristen 

Ein Sicherheitsvorfall lässt sich nicht immer verhindern. Entscheidend ist deshalb, wie schnell ein Unternehmen reagieren und den Geschäftsbetrieb aufrechterhalten kann. Klare Abläufe, definierte Ansprechpartner und erprobte Notfallpläne schaffen Orientierung, wenn schnelle Entscheidungen gefragt sind. 

Risikomanagement 

Unternehmen müssen verstehen, welche Systeme, Prozesse und Informationen besonders kritisch sind. Nur so können Schutzmaßnahmen gezielt priorisiert werden. Wer seine Risiken kennt, kann Entscheidungen faktenbasiert treffen und Budgets dort einsetzen, wo sie den größten Beitrag zur Sicherheit leisten. 

Awareness und Sicherheitskultur 

Technische Schutzmaßnahmen verlieren an Wirksamkeit, wenn Mitarbeitende Risiken nicht erkennen oder Sicherheitsprozesse nicht kennen. Ein grundlegendes Sicherheitsverständnis im Unternehmen hilft dabei, Fehler zu reduzieren, Vorfälle früher zu erkennen und Sicherheitsmaßnahmen im Alltag umzusetzen.

Dokumentation und Nachweisbarkeit 

Maßnahmen sind nachvollziehbar zu dokumentieren. Diese Dokumentation schafft Transparenz über Entscheidungen, Verantwortlichkeiten und umgesetzte Maßnahmen. Gleichzeitig erleichtert sie interne Abstimmungen, Audits und den Nachweis gegenüber Kunden, Partnern oder Behörden. 

Szenario 1: Das gewachsene Unternehmen 

Über Jahre hinweg wurden neue Sicherheitsmaßnahmen eingeführt, Verantwortlichkeiten verteilt und einzelne Anforderungen im Rahmen anderer Projekte umgesetzt. Heute weiß niemand mehr genau, welche NIS2-Anforderungen bereits abgedeckt werden und wo tatsächlich Handlungsbedarf besteht. Der erste Schritt besteht darin, Transparenz über bestehende Prozesse, Richtlinien und Sicherheitsmaßnahmen zu schaffen und diese systematisch einzuordnen. 

Szenario 2: Das kleine IT-Team 

In vielen mittelständischen Unternehmen kümmert sich dieselbe Mannschaft um den IT-Betrieb, den Support, laufende Projekte und IT-Sicherheit. Für umfangreiche Compliance-Projekte wie eine NIS-2-Implementierung bleibt im Tagesgeschäft kaum Zeit. Umso wichtiger ist es, die größten Risiken zuerst anzugehen und verfügbare Ressourcen gezielt dort einzusetzen, wo sie den größten Beitrag leisten. Zudem müssen die organisatorischen und technischen Maßnahmen ohne mögliche Interessenskonflikte anhand der Prioritäten orchestriert werden.  

Szenario 3: Mehrere Standorte, unterschiedliche Abläufe 

In Unternehmen mit mehreren Standorten haben sich über die Jahre unterschiedliche Prozesse, Verantwortlichkeiten und Dokumentationsstandards entwickelt. Während an einem Standort Risiken regelmäßig bewertet und dokumentiert werden, existieren an anderer Stelle abweichende Vorgehensweisen oder eigene Zuständigkeiten. Für die NIS2-Umsetzung müssen zunächst gemeinsame Standards, Rollen und Abläufe definiert werden, damit Sicherheitsmaßnahmen und Nachweise standortübergreifend einheitlich gesteuert werden können. 

Organisationen sind häufig weiter, als sie selbst vermuten. Viele Unternehmen haben in den vergangenen Jahren bereits erhebliche Investitionen in Informationssicherheit, Notfallvorsorge und Cyberabwehr getätigt. Oftmals existieren Richtlinien, Prozesse, technische Schutzmaßnahmen oder Verantwortlichkeiten, die bereits wichtige Anforderungen von NIS2 abdecken. 

Ein guter Reifegrad zeichnet sich beispielsweise dadurch aus, dass: 

• Verantwortlichkeiten klar geregelt sind 
• Risiken regelmäßig betrachtet werden 
• Sicherheitsmaßnahmen dokumentiert sind 
• Vorfälle strukturiert behandelt werden 
• Mitarbeitende für Sicherheitsrisiken sensibilisiert sind 
• Verbesserungen kontinuierlich erfolgen 

Treffen mehrere dieser Punkte bereits zu, existiert meist eine gute Grundlage, auf der weitere Anforderungen aufgebaut werden können. Die Aufgabe besteht dann nicht darin, komplett neue Strukturen zu schaffen, sondern bestehende Maßnahmen gezielt weiterzuentwickeln, Lücken zu schließen und Aktivitäten in eine nachvollziehbare Gesamtstrategie einzuordnen.

Die Umsetzung von NIS2 erfordert meistens zusätzliches Fachwissen oder personelle Unterstützung. Dabei stellt sich schnell die Frage, welche Form der Begleitung wirklich sinnvoll ist. Nicht jede Organisation benötigt ein umfangreiches Projekt, genauso wenig reicht jedoch eine einmalige Beratung aus. 

Externe Unterstützung sollte deshalb nicht möglichst viele Leistungen umfassen, sondern möglichst gut zur Organisation, zur Sicherheitsreife und zu den verfügbaren Ressourcen passen. Ziel sollte immer sein, interne Teams zu entlasten und die Fähigkeit des Unternehmens zu stärken, die Anforderungen langfristig eigenständig weiterzuführen. 

Wichtige Kriterien sind: 

• Berücksichtigung bestehender Strukturen 
• Verständnis für mittelständische Rahmenbedingungen 
• Nachvollziehbare Priorisierung 
• Realistische Umsetzungsempfehlungen 
• Langfristige Praxistauglichkeit 
• Fachliche Expertise in Security und Compliance 

Der Fokus sollte nicht darauf liegen, möglichst viele Maßnahmen gleichzeitig einzuführen, sondern die richtigen Maßnahmen zum richtigen Zeitpunkt umzusetzen. 

NIS2 stellt viele mittelständische Unternehmen vor dieselbe Herausforderung: Die Anforderungen sind umfangreich, die verfügbaren Ressourcen dagegen begrenzt. Es reicht nicht aus, einzelne Maßnahmen isoliert umzusetzen oder ausschließlich auf die formale Erfüllung von Compliance-Vorgaben zu achten. 

Erfolgreiche Unternehmen betrachten NIS2 deshalb als strategische Weiterentwicklung ihrer Sicherheits- und Resilienzstrukturen. Statt möglichst viele Maßnahmen gleichzeitig anzustoßen, schaffen sie zuerst Transparenz über ihren aktuellen Stand, priorisieren Risiken und setzen Verbesserungen schrittweise um. 

Pragmatismus und Compliance sind dabei kein Widerspruch. Wer bestehende Strukturen sinnvoll nutzt, Maßnahmen nach ihrer Wirkung priorisiert und organisatorische sowie technische Aspekte gemeinsam betrachtet, kann die Anforderungen nachhaltig erfüllen, ohne die eigene Organisation zu überfordern. 

Auch wenn der Weg zur NIS2-Compliance für jedes Unternehmen unterschiedlich aussieht, gilt eine Erkenntnis nahezu überall: Der größte Fortschritt entsteht nicht durch Perfektion von Anfang an, sondern durch einen klaren Plan, realistische Prioritäten und kontinuierliche Verbesserung.

SITS unterstützt Unternehmen dabei, den eigenen Reifegrad zu bewerten, Handlungsfelder zu identifizieren und die nächsten Schritte systematisch zu priorisieren und umzusetzen. Im Mittelpunkt steht dabei kein pauschaler Maßnahmenkatalog, sondern die individuelle Ausgangssituation des Unternehmens. Grundlage hierfür bildet ein Assessment, das bestehende Prozesse, organisatorische Strukturen und technische Sicherheitsmaßnahmen betrachtet und in Bezug auf die NIS2-Anforderungen einordnet. 

Auf Basis der Ergebnisse entsteht eine Roadmap, die aufzeigt, welche Maßnahmen kurzfristig umgesetzt werden können, welche Themen mittelfristig geplant werden sollten und wo bereits bestehende Strukturen genutzt oder weiterentwickelt werden können. Ziel ist es, Aufwand und Nutzen in ein sinnvolles Verhältnis zu bringen und Unternehmen dabei zu unterstützen, ihre Ressourcen gezielt einzusetzen. 

Außerdem kann die Umsetzungsbegleitung flexibel an den tatsächlichen Bedarf angepasst werden. Neben dem Assessment sind fachliche Beratung, Fortschrittskontrolle und Reporting möglich. Ergänzend stehen verschiedene Umsetzungspakete für die Themenbereiche Governance & Compliance, Security & Awareness sowie Resilienz & Operations zur Verfügung. Unternehmen können dabei genau die Unterstützung auswählen, die für ihre aktuelle Situation erforderlich ist, anstatt ein überdimensioniertes Gesamtprojekt umzusetzen. 

Vereinbaren Sie ein unverbindliches Erstgespräch und erhalten Sie eine fundierte Einschätzung Ihrer Ausgangslage sowie möglicher nächster Schritte.