NIS2 für KMU: Was jetzt zu tun ist

Die EU-Richtlinie NIS2 hebt die Anforderungen an Cybersicherheit deutlich an – und betrifft weit mehr Unternehmen als gedacht. Für KMU lohnt es sich, jetzt hinzuschauen, statt abzuwarten: Wer sich frühzeitig mit den neuen Pflichten auseinandersetzt, vermeidet Hektik in letzter Minute und kann Sicherheit gezielt in bestehende Abläufe einbauen, statt sie im Nachhinein mühsam nachzurüsten.

Was NIS2 ist

NIS2 steht für die zweite Fassung der Network-and-Information-Security-Richtlinie der EU und verpflichtet Unternehmen zu einem höheren Niveau an Cybersicherheit. Dazu gehören unter anderem Risikomanagement, technische und organisatorische Schutzmaßnahmen sowie Meldepflichten bei Sicherheitsvorfällen. Anders als die Vorgängerregelung zielt NIS2 nicht mehr nur auf klassische Betreiber kritischer Infrastrukturen wie Energieversorger oder Krankenhäuser, sondern bezieht auch deren Zulieferer, Dienstleister und Partnerunternehmen mit ein. Wer also Produkte oder Dienstleistungen an ein Unternehmen liefert, das unter NIS2 fällt, kann selbst mittelbar in die Pflicht genommen werden – etwa weil Auftraggeber entsprechende Nachweise, Sicherheitskonzepte oder vertragliche Zusicherungen verlangen. Damit verschiebt sich das Thema von einer reinen Compliance-Frage großer Konzerne hin zu einer praktischen Aufgabe für viele kleinere und mittlere Unternehmen entlang der Lieferkette.

Wen es betrifft

Viele mittelständische Unternehmen unterschätzen, dass sie überhaupt betroffen sein könnten. Direkt betroffen sind Unternehmen aus Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur oder Finanzwesen, sofern bestimmte Größenkriterien erfüllt sind. Indirekt betroffen sind aber auch all jene, die als Dienstleister, Softwareanbieter oder Zulieferer in die Lieferketten dieser Sektoren eingebunden sind – etwa eine IT-Agentur, die für einen Energieversorger arbeitet, oder ein Hersteller, der Komponenten an einen Krankenhausbetreiber liefert. Gerade weil die Abgrenzung nicht immer eindeutig ist, lohnt sich im Zweifel eine strukturierte Prüfung: Welche Kunden bediene ich, in welchen Branchen sind sie aktiv, und welche vertraglichen Anforderungen kommen möglicherweise auf mich zu? Wer diese Fragen frühzeitig beantwortet, kann realistisch einschätzen, wie dringend das Thema für das eigene Unternehmen ist, und muss nicht überstürzt reagieren, sobald ein Kunde oder Partner konkret nachfragt. Auch wenn ein Unternehmen am Ende nicht formal unter die Richtlinie fällt, ist die Auseinandersetzung mit den eigenen Risiken selten verschwendete Zeit.

Erste Schritte

Der Einstieg in NIS2-Konformität muss nicht kompliziert sein, wenn man ihn strukturiert angeht. Ein sinnvoller erster Schritt ist eine Bestandsaufnahme der eigenen Risiken: Welche Systeme, Daten und Prozesse sind besonders schützenswert, wo gibt es bereits Schutzmaßnahmen, und wo bestehen Lücken? Darauf aufbauend lässt sich ein Basis-Schutz umsetzen, der die wichtigsten Angriffsflächen absichert – von klar geregelten Zugriffsrechten über regelmäßige Backups bis hin zu aktuellen Software-Updates und einer sinnvollen Passwort- und Zugangspolitik. Ebenso wichtig ist die Dokumentation: Prozesse, Verantwortlichkeiten und Meldewege sollten schriftlich festgehalten werden, damit im Ernstfall klar ist, wer was zu tun hat und wer informiert werden muss. Auch Schulungen für Mitarbeitende gehören dazu, denn viele Sicherheitsvorfälle beginnen mit menschlichen Fehlern wie einem unbedacht geöffneten Anhang. Das schafft nicht nur Klarheit im Umgang mit NIS2, sondern erleichtert auch die interne Kommunikation und den Umgang mit Kunden, die entsprechende Nachweise verlangen. Wir denken Sicherheit und Marketing zusammen – siehe Datenschutz & IT-Sicherheit, wo technische Schutzmaßnahmen und kommunikative Aspekte gemeinsam betrachtet werden.

Warum das auch Marketing betrifft

Cybersicherheit endet nicht bei der IT-Abteilung. Auch Websites, Online-Formulare, Tracking-Tools und die dort verarbeiteten Kundendaten fallen in den Bereich sinnvoller Schutzmaßnahmen. Wer beispielsweise ein Content-Management-System nicht aktuell hält, Plugins ungeprüft installiert oder Kontaktformulare ungeschützt lässt, öffnet potenziell ein Einfallstor – unabhängig davon, ob das Unternehmen formal unter NIS2 fällt oder nicht. Für Marketingverantwortliche bedeutet das: Sicherheit sollte fester Bestandteil der digitalen Kommunikation sein, von der Auswahl der eingesetzten Tools und Dienstleister bis zur Frage, wie Daten aus Kampagnen, Anmeldeformularen und Landingpages gespeichert und geschützt werden. Wer hier vorausschauend arbeitet, gewinnt außerdem Vertrauen bei Kunden und Partnern, die zunehmend nach dem Umgang mit Sicherheit und Daten fragen. Orientierung zu grundlegenden Schutzmaßnahmen und aktuellen Empfehlungen bietet das BSI. Keine Rechtsberatung. Wer unsicher ist, wie die eigenen Website- und Marketingprozesse einzuordnen sind, sollte diese Punkte gemeinsam mit IT und gegebenenfalls rechtlicher Beratung klären, statt das Thema auf die lange Bank zu schieben.