NIS-2 für KMU: Betrifft die neue Cybersicherheitsrichtlinie auch Ihr Unternehmen?
Inhaltsverzeichnis
- Was ist NIS-2?
- Welche Unternehmen sind direkt betroffen?
- Wann ist ein KMU direkt betroffen?
- Warum auch nicht betroffene KMU handeln sollten
- Die zentralen Anforderungen von NIS-2
- Warum ERP, DMS und Buchhaltung besonders im Fokus stehen
- DMS: Dokumente sind oft sensibler als gedacht
- Buchhaltungssoftware: Finanzdaten als Angriffsziel
- Erste Schritte zur NIS-2-Vorbereitung
- Fazit: NIS-2 ist Chance und Pflicht zugleich
- FAQ: Häufige Fragen zu NIS-2 und KMU
Was ist NIS-2?
NIS 2 steht für „Network and Information Security Directive 2” und ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie aus dem Jahr 2016 ab und geht in vielerlei Hinsicht darüber hinaus: Es sind mehr Sektoren und Unternehmen betroffen, die Anforderungen sind höher und die Strafen sind empfindlicher.
Die EU-Richtlinie ist im Januar 2023 in Kraft getreten. Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland sie in nationales Recht überführt – mit Wirkung seit Dezember 2025.
Das Ziel ist klar: ein einheitlich hohes Cybersicherheitsniveau in der gesamten EU – und zwar nicht nur in Ministerien oder DAX-Konzernen, sondern bis weit in den Mittelstand hinein.
Welche Unternehmen sind direkt betroffen?
NIS-2 unterscheidet zwischen zwei Kategorien direkt betroffener Unternehmen:
Wesentliche Einrichtungen (WE)
Hierbei handelt es sich um Unternehmen in besonders kritischen Sektoren wie Energie, Gesundheit, Trinkwasser, Verkehr oder digitale Infrastruktur. Für sie gelten die strengsten Auflagen und die höchsten Bußgelder – diese können bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes betragen.
Wichtige Einrichtungen (bWE)
Hierunter fallen Unternehmen in weiteren relevanten Sektoren, darunter Chemie, Lebensmittel, Maschinenbau, Post- und Kurierdienste, digitale Dienste und mehr. Bußgelder können hier bis zu sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes betragen.
Wann ist ein KMU direkt betroffen?
Grundsätzlich gilt: Ein Unternehmen fällt unter NIS-2, wenn es in einem der 18 regulierten Sektoren tätig ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz bzw. eine Jahresbilanzsumme von mehr als zehn Millionen Euro aufweist. In Ausnahmefällen können auch kleinere Unternehmen erfasst sein, beispielsweise wenn sie als einziger Anbieter eine kritische Dienstleistung erbringen.
Tipp: Ob Ihr Unternehmen betroffen ist, können Sie über die Selbstregistrierungsplattform des BSI (Bundesamt für Sicherheit in der Informationstechnik) prüfen.
Warum auch nicht betroffene KMU handeln sollten
Viele KMU-Geschäftsführer lesen die Schwellenwerte, stellen fest, dass sie darunter liegen, und lehnen sich zurück. Das kann jedoch ein teurer Irrtum sein.
Der Kaskadeneffekt in der Lieferkette
Unternehmen, die der NIS-2-Richtlinie unterliegen, sind gesetzlich verpflichtet, Cybersicherheitsrisiken in ihrer gesamten Lieferkette zu managen. Das bedeutet: Wenn Sie als Zulieferer, Dienstleister oder Softwarepartner für ein NIS-2-reguliertes Unternehmen arbeiten, werden diese Anforderungen vertraglich an Sie weitergegeben – ob Sie wollen oder nicht.
Betroffen sind Automotive-Zulieferer, IT-Dienstleister, Logistikpartner oder Facility-Management-Anbieter. Sie alle geraten in den Sog ihrer Auftraggeber. Wer die geforderten Sicherheitsnachweise nicht erbringen kann, riskiert den Verlust von Aufträgen und Rahmenverträgen.
Reputation und Wettbewerbsfähigkeit
Cybersicherheit ist schon lange kein reines IT-Thema mehr, sondern ein geschäftskritischer Faktor. Kunden, Banken und Versicherungen fragen immer häufiger nach Sicherheitsstandards. Unternehmen, die in diesem Bereich gut aufgestellt sind, haben einen echten Wettbewerbsvorteil.
Die zentralen Anforderungen von NIS-2
1. Risikomanagement
Die NIS-2-Richtlinie fordert ein systematisches Informationssicherheits-Risikomanagement. Das bedeutet, dass Risiken identifiziert, bewertet, dokumentiert und regelmäßig überprüft werden müssen. Konkret geht es um Maßnahmen wie:
- Verschlüsselung sensibler Daten
- Zugangskontrollen und Berechtigungsmanagement (wer darf was sehen?)
- Regelmäßige Datensicherungen (Backups)
- Multifaktor-Authentifizierung (MFA) – also die Kombination aus Passwort und einem zweiten Sicherheitsfaktor wie einer App oder SMS
- Netzwerksegmentierung – die Trennung verschiedener IT-Bereiche, damit ein Angriff nicht das gesamte System lahmlegt
Wichtig: Die Verantwortung liegt bei der Geschäftsführung. NIS-2 macht Cybersicherheit zur Chefsache. Geschäftsführer können bei Verstößen persönlich haftbar gemacht werden.
2. Meldepflichten
Bei einem erheblichen Sicherheitsvorfall gemäß § 32 NIS2UmsuCG gelten strikte Meldefristen:
- 24 Stunden nach Bekanntwerden: Erstmeldung an die zuständige Behörde (in Deutschland das BSI)
- 72 Stunden: Detaillierter Folgebericht
- 1 Monat: Abschlussbericht
Das klingt machbar, ist es aber nur, wenn die internen Prozesse bereits feststehen. Wer im Ernstfall erst überlegen muss, wen er kontaktieren muss und welche Systeme betroffen sind, verschwendet wertvolle Zeit.
3. Lieferkettensicherheit
NIS-2 verpflichtet betroffene Unternehmen dazu, die Cybersicherheit ihrer Lieferanten und Dienstleister aktiv zu überprüfen. Konkret müssen sie:
- Sicherheitsanforderungen in Lieferantenverträge aufnehmen
- Lieferanten regelmäßig auf ihre Sicherheitsreife prüfen (Audits, Fragebögen, Nachweise)
- Schwachstellen in der Lieferkette im eigenen Risikomanagement berücksichtigen
Das BSI beschreibt es deutlich: Betroffene Unternehmen dürfen unter Umständen nicht mehr mit jedem Anbieter zusammenarbeiten, der die Anforderungen nicht erfüllt (Quelle: Fragen und Antworten zu NIS-2)
Warum ERP, DMS und Buchhaltung besonders im Fokus stehen
ERP-System: Das Herzstück des Unternehmens
Ein ERP-System (Enterprise Resource Planning) verwaltet Aufträge, Lagerbestände, Einkauf, Produktion, Personalwesen und Finanzen – oft alles in einem. Ein erfolgreicher Angriff auf das ERP-System trifft das Unternehmen im Kern.
Praxisbeispiel: Ein Fertigungsbetrieb wurde Opfer eines Ransomware-Angriffs. Das ERP-System ist verschlüsselt, die Produktion steht still. Wer kein aktuelles Backup hat und keinen Notfallplan, zahlt in jedem Fall: entweder das Lösegeld an die Erpresser oder die Kosten für die Wiederherstellung. Hinzu kommen möglicherweise Bußgelder wegen Meldepflichtverletzung.
Die folgende Tabelle zeigt, welche Folgen sich aus NIS-2 für die ERP-Nutzung ergeben.
Thema | Was bedeutet das konkret im ERP? | Typische Maßnahmen |
|---|---|---|
Zugriffsrechte konsequent verwalten | Mitarbeitende dürfen im ERP nur auf die Daten/Funktionen zugreifen, die sie wirklich benötigen (Least Privilege). | Rollen- und Berechtigungskonzepte, regelmäßige Rezertifizierung von Rechten, sauberes On-/Offboarding, privilegierte Konten streng kontrollieren |
Schnittstellen absichern | Jede ERP-Anbindung an Drittsysteme (Kunden, Lieferanten, Banken, Logistik, BI) erhöht die Angriffsfläche. | API-Gateways, starke Authentifizierung (z. B. OAuth2/mTLS), Least-Privilege auch für Schnittstellen-User/Service-Accounts, Logging/Monitoring, Netzwerksegmentierung |
Updates und Patches | ERP-Schwachstellen müssen systematisch erkannt und geschlossen werden – „Patchen nach Bauchgefühl“ reicht nicht. | Geregelter Patch-/Change-Prozess, Test-/Staging-Umgebung, feste Wartungsfenster, Schwachstellenmanagement & Priorisierung, Nachweisführung (wer/was/wann gepatcht) |
Cloud-ERP | Bei SaaS/Cloud-ERP müssen Verantwortlichkeiten, Sicherheitsleistungen und Melde-/Audit-Themen sauber geregelt sein. | SLAs/AVV, klare Regelungen zu Security Controls, Incident-Meldung, Audit-/Nachweisrechten, Lieferkette und Subdienstleister prüfen |
Notfallpläne | Wenn das ERP ausfällt (Cyberangriff, Cloud-Störung, Ransomware), muss der Betrieb weiterlaufen bzw. schnell wiederhergestellt werden können. | Business-Continuity- und Wiederanlaufpläne, Backup-/Restore-Tests, definierte RTO/RPO, Notbetriebsprozesse (z. B. manuelle Auftragsabwicklung, Krisenkommunikation) |
DMS: Dokumente sind oft sensibler als gedacht
Ein DMS (Dokumentenmanagement-System) speichert, verwaltet und archiviert Unternehmensdokumente – von Verträgen über Rechnungen bis zu Personalakten. In vielen Unternehmen liegen hier hochsensible Daten, oft jahrelang, manchmal mit veralteten Zugriffsrechten. Durch NIS-2 ergeben sich praktische Konsequenzen für die DMS-Nutzung.
Thema | Worauf achten? | Praktische Maßnahmen |
|---|---|---|
Berechtigungsmanagement | Zugriffe müssen aktuell, rollenbasiert und nachvollziehbar sein. Ehemalige Mitarbeitende oder falsche Abteilungsrechte sind ein Risiko. | Regelmäßige Rechte-Audits durchführen; Offboarding-Prozess prüfen (Werden Accounts sofort deaktiviert?); Least-Privilege-Prinzip umsetzen; Protokollierung von Rechteänderungen |
Revisionssichere Archivierung | Revisionssicherheit (Unveränderbarkeit & Nachvollziehbarkeit) reicht nicht allein: Archive müssen zusätzlich gegen unbefugten Zugriff und Manipulation geschützt werden. | Archivspeicher absichern (z. B. WORM/Immutability, Zugriffsrestriktionen); Integritätsprüfungen und Audit-Trails aktivieren; klare Rollen für Archivzugriff; regelmäßige Kontrollen/Tests |
Verschlüsselung | Sensible Dokumente (personenbezogene/finanzielle Daten) müssen bei Übertragung und Speicherung geschützt sein. | Transportverschlüsselung (z. B. TLS) erzwingen; Speicher-/Datenträgerverschlüsselung aktivieren; Schlüsselmanagement klären (Wer verwaltet Keys?); Schutz für Backups nicht vergessen |
Integration mit anderen Systemen (ERP/Buchhaltung etc.) | Schnittstellen vergrößern die Angriffsfläche: Schwachstellen in einem System können sich auf verbundene Systeme auswirken. | Schnittstellen härten (Auth, Tokens, Rechtekonzepte); Systemübergreifende Berechtigungskonzepte definieren; regelmäßige Patch-/Update-Prozesse; Monitoring/Logging über alle Systeme hinweg |
Buchhaltungssoftware: Finanzdaten als Angriffsziel
Finanzdaten sind für Cyberkriminelle besonders wertvoll – für Erpressung, Betrug oder Industriespionage. Gleichzeitig sind Buchhaltungssysteme oft schlecht geschützt, weil sie als „normale Bürosoftware" unterschätzt werden.
Die Tabelle zeigt, worauf in der Buchhaltung (Software & Prozesse) im Zusammenhang mit NIS-2 zu achten ist.
Thema | Worauf achten? | Praktische Maßnahmen/Fragen |
|---|---|---|
Buchhaltungssoftware absichern | Buchhaltungslösungen müssen in ein übergreifendes Sicherheitskonzept eingebettet sein (Zugänge, Patch-/Update-Prozesse, sichere Kommunikation mit Dritten). | Rollen und Rechte sauber definieren; Update-/Patch-Management verbindlich regeln; sichere Übertragungswege für Daten mit Steuerberatung/WP (z. B. verschlüsselte Kanäle); Protokollierung aktivieren |
Externe Zugänge kontrollieren (Steuerberater, Dienstleister) | Externe Accounts sind ein häufiger „Seiteneingang“: Zugriffe müssen dokumentiert, eingeschränkt und regelmäßig überprüft werden. | Externe Zugänge inventarisieren (wer/warum/wie lange); zeitlich begrenzen; minimal nötige Rechte; MFA (falls möglich); regelmäßige Rezertifizierung/Audit der Zugänge; Deaktivierung bei Rollen-/Mandatswechsel |
Digitale Zahlungsprozesse absichern | Betrugsmaschen (CEO-Fraud, Rechnungsmanipulation) zielen auf Zahlungsfreigaben. Ohne Kontrollen sind manipulierte Zahlungen möglich. | Vier-Augen-Prinzip für Zahlungen/Änderung von Bankdaten; definierte Freigabe-Workflows und Schwellenwerte; Rückruf-/Verifikationsprozess bei „dringenden“ Zahlungsanweisungen; Trennung von Funktionen (Erfassung vs. Freigabe) |
Datensicherung & Wiederherstellbarkeit | Backups sind nur dann wertvoll, wenn die Wiederherstellung nachweisbar funktioniert (regelmäßig testen). | Backup-Plan festlegen; Restore-Tests dokumentieren; Schutz der Backups vor Manipulation (z. B. Immutable/Offline-Kopie); Verantwortlichkeiten klären |
Kurzum: ERP, DMS und Buchhaltung sind keine Randsysteme. Sie sind das digitale Rückgrat jedes Unternehmens – und genau deshalb stehen sie im Fadenkreuz von Angreifern.
Erste Schritte zur NIS-2-Vorbereitung
Die gute Nachricht lautet: Man muss nicht alles auf einmal angehen. Wer die Umsetzung der NIS-2-Anforderungen strukturiert angeht, legt schnell ein solides Fundament.
1. Betroffenheit prüfen
Analysieren Sie zunächst, ob Ihr Unternehmen direkt unter die NIS-2-Richtlinie fällt. Nutzen Sie dazu die Selbsteinschätzungstools des BSI oder holen Sie rechtliche Beratung ein. Prüfen Sie außerdem, ob Ihre wichtigsten Kunden NIS-2-pflichtig sind und ob sie bereits Sicherheitsanforderungen an die Lieferantenbeziehung knüpfen.
2. Gap-Analyse durchführen
Eine Gap-Analyse vergleicht Ihren aktuellen Sicherheitsstand mit den NIS-2-Anforderungen. Wo gibt es Lücken? Welche Systeme, Prozesse oder Verantwortlichkeiten fehlen? Dieser Schritt bildet die Grundlage für alle weiteren Maßnahmen.
3. Verantwortlichkeiten klären
Benennen Sie eine verantwortliche Person für das Thema Informationssicherheit – intern oder extern. Und: Binden Sie die Geschäftsführung aktiv ein. NIS-2 ist kein IT-Projekt, sondern ein Unternehmensthema.
4. Kritische Systeme inventarisieren
Erfassen Sie alle IT-Systeme, Software und Datenflüsse – insbesondere ERP, DMS und Buchhaltung. Wer hat Zugriff? Wo laufen sensible Daten? Welche Schnittstellen existieren? Ohne diese Übersicht lässt sich kein wirkungsvolles Risikomanagement aufbauen.
5. Technische Basismaßnahmen umsetzen
Setzen Sie zuerst auf die Maßnahmen mit dem größten Wirkungsgrad:
- Multifaktor-Authentifizierung für alle kritischen Systeme einführen
- Zugriffsrechte aufräumen und dokumentieren
- Backup-Prozesse prüfen und testen
- Software-Updates und Patch-Management regeln
- Mitarbeitende schulen
6. Melde- und Notfallprozesse definieren
Der Ernstfall duldet keine Improvisation. Legen Sie jetzt schriftlich fest: Wer greift zum Telefon? Wer meldet an das BSI? Welche Systeme müssen innerhalb welcher Zeit wieder laufen? Proben Sie den Ernstfall regelmäßig mit Ihrem Team!
Fazit: NIS-2 ist Chance und Pflicht zugleich
Ja, die Umsetzung von NIS-2 ist arbeitsintensiv. Es wäre jedoch ein Fehler, darin nur Bürokratie zu sehen. Denn hohe Cybersicherheit schützt nicht nur die Systeme des Unternehmens, sie sichert auch das Vertrauen der Kunden, die Beziehungen zu den Lieferanten und damit die eigene Zukunftsfähigkeit.
Und da wir gerade bei unbequemen Wahrheiten für den Mittelstand sind: Die Frage ist nicht, ob ein Cyberangriff kommt, sondern wann. Unternehmen, die jetzt handeln, stehen im Ernstfall nicht vor den Trümmern ihrer Existenz, sondern können ihren Betrieb weiterhin aufrechterhalten.
FAQ: Häufige Fragen zu NIS-2 und KMU
Was ist NIS-2 einfach erklärt?
NIS-2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen in bestimmten Sektoren dazu, ein aktives Cybersicherheitsmanagement einzuführen, Sicherheitsvorfälle zu melden und ihre Lieferketten abzusichern. In Deutschland gilt das Umsetzungsgesetz (NIS2UmsuCG) seit Dezember 2025.
Bin ich als KMU von NIS-2 betroffen?
Grundsätzlich gilt: Unternehmen in einem der 18 regulierten Sektoren – darunter Energie, Gesundheit, Lebensmittel, Maschinenbau oder IT-Dienstleistungen – fallen unter NIS-2, wenn sie mindestens 50 Mitarbeitende oder einen Jahresumsatz bzw. eine Bilanzsumme von mehr als 10 Millionen Euro haben. In Ausnahmefällen können auch kleinere Unternehmen betroffen sein. Die Betroffenheit lässt sich über die BSI-Selbstregistrierungsplattform prüfen.
Was passiert, wenn mein Unternehmen NIS-2 ignoriert?
Die Bußgelder sind empfindlich: Für wesentliche Einrichtungen drohen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen sind es bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Hinzu kommt die persönliche Haftung der Geschäftsführung.
Muss ich als Zulieferer eines NIS-2-pflichtigen Unternehmens auch NIS-2 einhalten?
Nicht direkt – aber indirekt sehr wohl. NIS-2-pflichtige Unternehmen sind verpflichtet, Sicherheitsanforderungen an ihre Lieferanten und Dienstleister weiterzugeben. Wer als Zulieferer keine Nachweise über sein Sicherheitsniveau erbringen kann, riskiert den Verlust von Aufträgen und Rahmenverträgen.
Was muss ich bei einem Sicherheitsvorfall tun?
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Erstmeldung an das BSI gemeldet werden. Nach 72 Stunden folgt ein detaillierter Folgebericht, nach einem Monat ein abschließender Abschlussbericht. Die Uhr beginnt zu laufen, sobald ein Mitarbeitender Kenntnis vom Vorfall erlangt.
Ist NIS-2 auch für ERP- und Buchhaltungssysteme relevant?
Ja – und das wird häufig übersehen. ERP-Systeme, Dokumentenmanagement-Systeme (DMS) und Buchhaltungssoftware gehören zu den kritischsten IT-Systemen eines Unternehmens. NIS-2 verlangt, dass diese Systeme durch Zugriffskontrollen, Verschlüsselung, regelmäßige Backups und klare Update-Prozesse abgesichert werden.
Was ist der erste Schritt zur NIS-2-Compliance?
Der wichtigste erste Schritt ist eine Gap-Analyse: Sie vergleicht Ihren aktuellen Sicherheitsstand mit den NIS-2-Anforderungen und zeigt, wo Handlungsbedarf besteht. Parallel dazu sollte die Geschäftsführung die Verantwortung für das Thema aktiv übernehmen – denn NIS-2 macht Cybersicherheit ausdrücklich zur Chefsache.
Bildquelle: Song_about_summer - stock.adobe.com
Schlagwörter
