Was bedeutet die NIS2-Richtlinie für Ihr Unternehmen?

Sie haben in den letzten Monaten vermutlich von der NIS2-Richtlinie gehört – und fragen sich jetzt, ob Ihr Unternehmen betroffen ist? Die gute Nachricht: Nicht jedes KMU muss tätig werden. Die schlechte: Wenn Sie zu den betroffenen Branchen gehören, wird es höchste Zeit zu handeln.

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Verordnung zur Stärkung der Cybersicherheit, die seit Oktober 2024 in Deutschland umgesetzt werden muss. Anders als die erste NIS-Richtlinie betrifft sie deutlich mehr Unternehmen – auch mittelständische Betriebe mit 50+ Mitarbeitern oder 10 Millionen Euro Jahresumsatz.

In diesem Artikel erfahren Sie, ob Ihr Unternehmen betroffen ist, welche konkreten Maßnahmen Sie ergreifen müssen und mit welchen Kosten Sie für ein IT-Sicherheitskonzept rechnen sollten. Als IT-Operations-Partner für KMU in Friesland und Wilhelmshaven begleiten wir bei TwoPixels Unternehmen bei der praktischen Umsetzung.

Welche Unternehmen sind von NIS2 betroffen?

Die NIS2-Richtlinie unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Entscheidend sind dabei zwei Faktoren: die Branche und die Unternehmensgröße.

Betroffene Branchen und Sektoren

Zu den wesentlichen Einrichtungen gehören unter anderem:

• Energie (Strom, Gas, Fernwärme, Mineralöl)
• Verkehr (Luft-, Schienen-, Schiffs- und Straßenverkehr)
• Banken und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, Pharmahersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Cloud-Anbieter, Rechenzentren, DNS-Dienste)
• Öffentliche Verwaltung (Bund, Länder)

Zu den wichtigen Einrichtungen zählen:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie
• Lebensmittelproduktion und -vertrieb
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Größenkriterien für KMU

Ein Unternehmen gilt als betroffen, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von mindestens 10 Millionen Euro erzielt. Kleinere Unternehmen können ebenfalls erfasst werden, wenn sie als kritisch eingestuft werden – etwa als einziger Anbieter einer wichtigen Dienstleistung in einer Region.

Für viele mittelständische Betriebe in Schortens, Wilhelmshaven und Friesland bedeutet das: Wer beispielsweise einen Online-Shop mit entsprechendem Umsatz betreibt oder in der Logistik tätig ist, sollte genau prüfen, ob Handlungsbedarf besteht.

Was müssen betroffene Unternehmen konkret umsetzen?

Die NIS2-Richtlinie fordert von betroffenen Unternehmen eine Reihe technischer und organisatorischer Maßnahmen, um die IT-Sicherheit zu gewährleisten. Das Ziel: Cyberangriffe verhindern, Risiken minimieren und im Ernstfall schnell reagieren können.

Risikomanagement und IT-Sicherheitskonzept

Herzstück der Anforderungen ist ein dokumentiertes IT-Sicherheitskonzept, das folgende Punkte abdeckt:

• Risikoanalyse: Welche IT-Systeme sind kritisch? Wo bestehen Schwachstellen?
• Incident Response: Wie reagieren Sie auf Sicherheitsvorfälle? Wer ist verantwortlich?
• Business Continuity: Wie stellen Sie den Betrieb nach einem Angriff wieder her?
• Lieferkettensicherheit: Wie sicher sind Ihre Dienstleister und Zulieferer?
• Schwachstellenmanagement: Regelmäßige Updates und Patches für alle Systeme

Ein solches Konzept muss nicht hunderte Seiten umfassen – entscheidend ist, dass es zur Größe und Komplexität Ihres Unternehmens passt und gelebt wird.

Technische Mindestmaßnahmen

Auf technischer Ebene sind unter anderem folgende Maßnahmen erforderlich:

• Multi-Faktor-Authentifizierung (MFA) für alle kritischen Systeme
• Verschlüsselung sensibler Daten (sowohl bei Übertragung als auch Speicherung)
• Regelmäßige Backups mit gesicherter Aufbewahrung (3-2-1-Regel)
• Netzwerksegmentierung zur Eindämmung von Angriffen
• Protokollierung und Monitoring von Sicherheitsereignissen
• Patch-Management für zeitnahe Sicherheitsupdates

Organisatorische Anforderungen

Neben der Technik müssen auch organisatorische Prozesse angepasst werden:

• Benennung eines Verantwortlichen für Informationssicherheit (nicht zwingend Vollzeit)
• Schulungen für Mitarbeiter zu IT-Sicherheit und Phishing-Erkennung
• Meldepflicht: Sicherheitsvorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden
• Dokumentation: Alle Maßnahmen müssen nachweisbar dokumentiert sein
• Regelmäßige Überprüfung: Mindestens jährliche Audits und Tests

Besonders die Meldepflicht ist für viele KMU neu: Schwerwiegende Sicherheitsvorfälle müssen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden – mit strengen Fristen.

IT-Sicherheitskonzept: Mit welchen Kosten müssen Sie rechnen?

Eine der häufigsten Fragen, die wir bei Beratungsgesprächen hören: Was kostet die Umsetzung der NIS2-Richtlinie? Die Antwort hängt stark von der Ausgangssituation und Größe Ihres Unternehmens ab.

Einmalige Investitionskosten

Für die Ersteinrichtung sollten Sie mit folgenden Kosten rechnen:

• Beratung und Risikoanalyse: 3.000 – 8.000 Euro
• Erstellung IT-Sicherheitskonzept: 5.000 – 15.000 Euro
• Technische Implementierung (MFA, Verschlüsselung, Monitoring): 10.000 – 30.000 Euro
• Schulungen für Mitarbeiter: 1.000 – 3.000 Euro
• Hardware/Software (Firewalls, Backup-Systeme): 5.000 – 20.000 Euro

Gesamtkosten Ersteinrichtung: Je nach Unternehmensgröße zwischen 24.000 und 76.000 Euro – für kleinere KMU oft am unteren Ende der Spanne.

Laufende Betriebskosten

Nach der Implementierung fallen regelmäßige Kosten an:

• Wartung und Updates: 500 – 2.000 Euro/Monat
• Monitoring und Incident Response: 300 – 1.500 Euro/Monat
• Jährliche Audits: 3.000 – 8.000 Euro/Jahr
• Software-Lizenzen: 200 – 1.000 Euro/Monat

Kosten vs. Risiken

Diese Investition mag auf den ersten Blick hoch erscheinen – doch die Kosten eines erfolgreichen Cyberangriffs sind meist deutlich höher. Laut Bitkom verursacht Cyberkriminalität bei deutschen Unternehmen durchschnittlich Schäden von über 200.000 Euro pro Vorfall – ganz zu schweigen von Reputationsverlust und Betriebsunterbrechungen.

Bei TwoPixels entwickeln wir als IT-Operations-Partner maßgeschneiderte Lösungen, die zu Ihrem Budget passen und schrittweise umgesetzt werden können.

Schritt-für-Schritt: So gehen Sie die NIS2-Umsetzung an

Die Umsetzung der NIS2-Anforderungen muss nicht überwältigend sein. Mit einem strukturierten Vorgehen lassen sich die Anforderungen auch für kleinere KMU bewältigen.

Phase 1: Analyse und Planung (4-6 Wochen)

1. Betroffenheitsprüfung: Stellen Sie eindeutig fest, ob Ihr Unternehmen unter NIS2 fällt
2. IST-Analyse: Dokumentieren Sie Ihre aktuelle IT-Infrastruktur und Sicherheitsmaßnahmen
3. Gap-Analyse: Gleichen Sie den IST-Zustand mit den NIS2-Anforderungen ab
4. Priorisierung: Welche Maßnahmen sind am dringendsten?

Phase 2: Konzeption (6-8 Wochen)

1. IT-Sicherheitskonzept erstellen (oder aktualisieren)
2. Verantwortlichkeiten festlegen (CISO, IT-Sicherheitsbeauftragter)
3. Incident-Response-Plan entwickeln
4. Budget und Zeitplan finalisieren

Phase 3: Implementierung (3-6 Monate)

1. Technische Maßnahmen umsetzen (MFA, Verschlüsselung, Backups)
2. Prozesse etablieren (Patch-Management, Monitoring)
3. Mitarbeiter schulen
4. Dokumentation vervollständigen

Phase 4: Betrieb und kontinuierliche Verbesserung

1. Regelmäßige Überprüfung der Sicherheitsmaßnahmen
2. Jährliche Audits durchführen
3. Anpassungen bei Veränderungen der IT-Infrastruktur
4. Update-Zyklen für Hard- und Software einhalten

Häufige Fehler bei der NIS2-Umsetzung vermeiden

Bei der Umsetzung der NIS2-Richtlinie sehen wir in der Praxis immer wieder dieselben Stolpersteine. Diese sollten Sie vermeiden:

Fehler 1: Zu spät anfangen

Viele Unternehmen unterschätzen den Zeitaufwand. Die Umsetzung dauert oft 6-12 Monate – warten Sie nicht bis zur letzten Minute. Die Aufsichtsbehörden haben bereits angekündigt, dass sie Verstöße konsequent verfolgen werden.

Fehler 2: Nur auf Checklisten verlassen

NIS2 ist keine Abhak-Übung. Es geht darum, eine echte Sicherheitskultur zu etablieren. Ein IT-Sicherheitskonzept, das nur im Schrank liegt, erfüllt nicht den Zweck – und wird bei Audits durchfallen.

Fehler 3: Mitarbeiter nicht einbeziehen

Technische Maßnahmen allein reichen nicht. Ihre Mitarbeiter sind oft die erste Verteidigungslinie gegen Cyberangriffe. Schulungen und Awareness-Programme sind unverzichtbar.

Fehler 4: Lieferketten vergessen

Die NIS2-Richtlinie verlangt auch die Überprüfung Ihrer Dienstleister und Zulieferer. Wenn Ihr Cloud-Anbieter oder Online-Shop-System unsicher ist, betrifft das auch Sie.

Fehler 5: Keine professionelle Hilfe holen

IT-Sicherheit ist komplex. Für die meisten KMU lohnt es sich, externe Expertise hinzuzuziehen – sei es für die Erstanalyse, die Implementierung kritischer Maßnahmen oder die laufende Betreuung.

Sanktionen bei Nichteinhaltung

Die NIS2-Richtlinie kommt mit deutlich verschärften Sanktionen im Vergleich zur Vorgängerversion. Das soll Unternehmen zur Einhaltung motivieren – und die Behörden haben die Mittel, dies durchzusetzen.

Bußgelder für Verstöße

• Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes (je nachdem, was höher ist)
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4% des weltweiten Jahresumsatzes

Diese Summen sind keine theoretischen Maximalwerte – die EU-Kommission hat bereits angekündigt, Verstöße konsequent zu ahnden.

Persönliche Haftung der Geschäftsführung

Neu und besonders relevant für KMU-Inhaber: Die Geschäftsführung kann persönlich haftbar gemacht werden, wenn sie ihre Sorgfaltspflichten verletzt. Das bedeutet: Sie müssen nachweisen können, dass Sie angemessene Maßnahmen ergriffen haben.

Weitere Konsequenzen

• Betriebsunterbrechungen durch behördlich angeordnete Maßnahmen
• Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
• Verlust von Geschäftspartnern, die NIS2-Compliance voraussetzen

Fazit: NIS2 als Chance für mehr IT-Sicherheit

Die NIS2-Richtlinie mag zunächst wie eine zusätzliche Belastung erscheinen – besonders für kleinere und mittlere Unternehmen, die bereits mit Fachkräftemangel und Digitalisierungsdruck kämpfen. Doch betrachtet man sie nüchtern, ist NIS2 vor allem eines: ein überfälliger Weckruf.

Cyberangriffe nehmen zu, werden professioneller und treffen zunehmend auch KMU. Die NIS2-Richtlinie zwingt betroffene Unternehmen dazu, IT-Sicherheit systematisch anzugehen – und schafft damit letztlich einen Wettbewerbsvorteil gegenüber ungeschützten Wettbewerbern.

Die wichtigsten Punkte zusammengefasst:

• Prüfen Sie zeitnah, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt
• Beginnen Sie mit einer IST-Analyse Ihrer IT-Sicherheit
• Erstellen Sie ein dokumentiertes IT-Sicherheitskonzept
• Setzen Sie technische und organisatorische Maßnahmen schrittweise um
• Kalkulieren Sie ausreichend Budget und Zeit ein (6-12 Monate)
• Holen Sie sich professionelle Unterstützung, wo nötig

Als IT-Operations-Partner für Unternehmen in Schortens, Wilhelmshaven und der gesamten Region Friesland unterstützen wir Sie bei der praktischen Umsetzung. Von der ersten Bestandsaufnahme über die Konzeption bis hin zur technischen Implementierung und laufenden Betreuung – wir sorgen dafür, dass Sie rechtssicher und ohne Überforderung Ihrer Ressourcen compliant werden.

Häufig gestellte Fragen zur NIS2-Richtlinie

Ist mein Unternehmen mit 45 Mitarbeitern von NIS2 betroffen?

Nicht automatisch. Die Schwellenwerte liegen bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz. Allerdings können auch kleinere Unternehmen erfasst werden, wenn sie in kritischen Sektoren als einziger Anbieter tätig sind oder besonders kritische Infrastrukturen betreiben. Im Zweifelsfall empfiehlt sich eine individuelle Prüfung durch einen Rechtsexperten oder IT-Sicherheitsberater.

Bis wann muss ich die NIS2-Richtlinie umsetzen?

Die NIS2-Richtlinie ist seit Oktober 2024 in Deutschland in Kraft. Betroffene Unternehmen sollten die Umsetzung bereits begonnen haben. Da Kontrollen und Sanktionen bereits anlaufen, ist rasches Handeln geboten. Planen Sie mindestens 6-12 Monate für die vollständige Implementierung ein – je früher Sie starten, desto besser.

Was kostet ein IT-Sicherheitskonzept nach NIS2 für ein KMU?

Die Kosten variieren je nach Unternehmensgröße und Ausgangssituation. Für ein kleineres KMU mit 50-100 Mitarbeitern sollten Sie mit 25.000 bis 40.000 Euro für die Erstimplementierung rechnen, plus 1.000 bis 3.000 Euro monatlich für den laufenden Betrieb. Größere Unternehmen oder komplexere IT-Infrastrukturen können höhere Investitionen erfordern. Wichtig: Diese Kosten amortisieren sich durch vermiedene Sicherheitsvorfälle oft bereits nach kurzer Zeit.

Brauche ich einen IT-Sicherheitsbeauftragten in Vollzeit?

Nein, nicht zwingend. Die NIS2-Richtlinie fordert eine verantwortliche Person für Informationssicherheit, aber das kann auch eine Teilzeitaufgabe sein oder durch externe Dienstleister abgedeckt werden. Für kleinere KMU ist es oft sinnvoller, einen erfahrenen IT-Dienstleister mit der Rolle zu betrauen, als eine Vollzeitstelle zu schaffen. Wichtig ist nur, dass die Verantwortlichkeiten klar geregelt und dokumentiert sind.

Muss ich Sicherheitsvorfälle wirklich innerhalb von 24 Stunden melden?

Ja, die Meldepflicht ist streng geregelt. Bei erheblichen Sicherheitsvorfällen muss eine Erstmeldung innerhalb von 24 Stunden an das BSI erfolgen. Nach 72 Stunden ist eine Bewertung des Vorfalls erforderlich, nach einem Monat ein abschließender Bericht. „Erheblich" sind Vorfälle, die Ihre Geschäftstätigkeit beeinträchtigen oder andere gefährden könnten. Ein gut dokumentierter Incident-Response-Plan hilft, diese Fristen einzuhalten.

Was passiert, wenn ich die NIS2-Anforderungen nicht erfülle?

Bei Nichteinhaltung drohen empfindliche Sanktionen: Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes für wesentliche Einrichtungen. Dazu kommt die persönliche Haftung der Geschäftsführung. Behörden können außerdem Betriebsunterbrechungen anordnen und Verstöße öffentlich machen. Gerade für KMU können diese Konsequenzen existenzbedrohend sein – ein weiterer Grund, die Umsetzung ernst zu nehmen.

Kann ich NIS2-Compliance auch schrittweise erreichen?

Ja, und das ist sogar empfehlenswert. Eine schrittweise Umsetzung nach Prioritäten ist sinnvoller als der Versuch, alles auf einmal zu implementieren. Beginnen Sie mit einer Risikoanalyse und setzen Sie die kritischsten Maßnahmen zuerst um – etwa Multi-Faktor-Authentifizierung, Backups und grundlegendes Monitoring. Dokumentieren Sie dabei jeden Schritt, um Ihren Compliance-Fortschritt nachweisen zu können. Eine professionelle Beratung hilft, die richtige Reihenfolge festzulegen.

Gilt NIS2 auch für meinen Online-Shop?

Das hängt von der Art und Größe Ihres Online-Shops ab. Wenn Sie einen großen E-Commerce-Marktplatz betreiben oder als digitaler Dienst eingestuft werden und die Größenkriterien erfüllen, kann NIS2 greifen. Ein kleinerer Webshop mit unter 50 Mitarbeitern und weniger als 10 Millionen Euro Umsatz fällt in der Regel nicht darunter – es sei denn, er bietet kritische Dienstleistungen an. Trotzdem ist IT-Sicherheit für jeden Online-Shop essenziell, um Kundendaten zu schützen und DSGVO-Anforderungen zu erfüllen.

Glossar: Wichtige Begriffe zur NIS2-Richtlinie

NIS2-Richtlinie

Die Network and Information Security Directive 2 ist eine EU-Verordnung zur Stärkung der Cybersicherheit in Europa. Sie erweitert den Geltungsbereich der ursprünglichen NIS-Richtlinie von 2016 erheblich und erfasst nun auch mittelständische Unternehmen in vielen Branchen.

IT-Sicherheitskonzept

Ein dokumentierter Plan, der alle technischen und organisatorischen Maßnahmen zur Gewährleistung der Informationssicherheit beschreibt. Er umfasst Risikoanalyse, Schutzmaßnahmen, Incident Response und Notfallpläne – maßgeschneidert auf das jeweilige Unternehmen.

Multi-Faktor-Authentifizierung (MFA)

Ein Sicherheitsverfahren, bei dem sich Nutzer durch mindestens zwei unabhängige Faktoren identifizieren müssen – typischerweise Passwort plus SMS-Code oder App-Token. MFA reduziert das Risiko unbefugter Zugriffe erheblich.

Incident Response

Der strukturierte Prozess zur Erkennung, Bewertung und Bewältigung von Sicherheitsvorfällen. Ein guter Incident-Response-Plan definiert klare Verantwortlichkeiten, Kommunikationswege und Schritte zur Schadensbegrenzung.

BSI (Bundesamt für Sicherheit in der Informationstechnik)

Die deutsche Bundesbehörde für Cybersicherheit, die für die Umsetzung und Überwachung der NIS2-Richtlinie in Deutschland zuständig ist. An das BSI müssen betroffene Unternehmen Sicherheitsvorfälle melden.

Patch-Management

Der Prozess zur systematischen Verwaltung und Installation von Software-Updates und Sicherheitspatches. Regelmäßiges Patchen schließt bekannte Sicherheitslücken und ist eine Grundvoraussetzung für IT-Sicherheit.

Risikoanalyse

Die systematische Identifikation und Bewertung von IT-Sicherheitsrisiken. Sie bildet die Grundlage für alle weiteren Schutzmaßnahmen, indem sie aufzeigt, welche Assets besonders schützenswert sind und wo die größten Bedrohungen liegen.

Business Continuity

Die Fähigkeit eines Unternehmens, auch nach schwerwiegenden Störungen – etwa durch Cyberangriffe – weiterzuarbeiten. Business-Continuity-Planung umfasst Notfallpläne, Backup-Strategien und Wiederherstellungsprozesse.