NIS2: Praktischer Compliance-Leitfaden für KMU im Jahr 2026

Seit Oktober 2024 gilt die NIS2-Richtlinie (EU 2022/2555) für einen deutlich breiteren Anwendungsbereich als NIS1. Wir sprechen von 160 000 Einrichtungen in Europa, von denen die Mehrheit KMU sind, die noch nie mit Cyber-Regulierung zu tun hatten. Wenn Sie CISO oder Geschäftsführer eines Unternehmens mit 50 bis 250 Mitarbeitern in einem betroffenen Sektor sind, ist dieser Leitfaden für Sie.

Wer fällt unter NIS2?

NIS2 unterscheidet zwei Kategorien. Wesentliche Einrichtungen (Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Weltraum, öffentliche Verwaltung) und wichtige Einrichtungen (Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung, digitale Anbieter). Das Größenkriterium ist einfach: mehr als 50 Beschäftigte oder mehr als 10 Mio. € Umsatz. Aber Achtung: Bestimmte DNS-Betreiber, TLD-Register und Vertrauensdiensteanbieter fallen unabhängig von ihrer Größe darunter.

Die 10 Maßnahmen des Artikels 21

Art.21 schreibt einen "All-Gefahren-Ansatz" vor. Konkret müssen folgende 10 Maßnahmen von Ihrer Organisation umgesetzt werden:

• Risikoanalyse-Richtlinien und Sicherheit der Informationssysteme

• Vorfallsmanagement, Erkennung, Reaktion, Meldung

• Geschäftskontinuität, Backups, Notfallwiederherstellung, Krisenmanagement

• Lieferkettensicherheit, Ihre Zulieferer und Dienstleister

• Sicherheit bei Beschaffung, Entwicklung und Wartung der Informationssysteme, einschließlich Schwachstellenmanagement

• Bewertung der Wirksamkeit der Risikomanagementmaßnahmen (Audit)

• Grundlegende Cyberhygiene-Praktiken und Schulungen

• Kryptografie-Richtlinien und gegebenenfalls Verschlüsselung

• Personalsicherheit, Zugangskontrolle, Asset-Management

• Multi-Faktor-Authentifizierung (MFA) und sichere Kommunikation

Der Kernpunkt: NIS2 verlangt keine Perfektion. Sie verlangt Verhältnismäßigkeit zwischen Maßnahmen und Risiko. Ein KMU mit 60 Mitarbeitern hat nicht die gleichen Pflichten wie ein Betreiber kritischer Infrastruktur. Es muss jedoch nachweisen, dass es seine Risiken bewertet und angemessene Maßnahmen ergriffen hat.

Die Frist: Meldung in 24h / 72h

Art.23 ist derjenige, der CISOs ins Schwitzen bringt. Bei einem erheblichen Vorfall:

• 24 Stunden: Frühwarnung an das nationale CSIRT (in Deutschland das BSI)

• 72 Stunden: Vollständige Meldung mit erster Bewertung des Schweregrads, der Auswirkungen und der Kompromittierungsindikatoren

• 1 Monat: Detaillierter Abschlussbericht einschließlich Ursachenanalyse, ergriffener Maßnahmen und etwaiger grenzüberschreitender Auswirkungen

Wenn man bedenkt, dass die durchschnittliche Erkennungszeit einer Sicherheitsverletzung laut IBM Cost of a Data Breach Report 2025 194 Tage beträgt, ist das Erreichen der 24-Stunden-Frist für die Frühwarnung eine enorme Herausforderung. Ohne kontinuierliches Monitoring ist es schlicht unmöglich.

Die Sanktionen: kein leeres Versprechen

NIS2 hat sein Sanktionsregime an die DSGVO angeglichen. Für wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des Umsatzes. Und die Richtlinie führt die persönliche Haftung der Geschäftsleitung ein, ein Wendepunkt in den Vorstandsetagen.

Wie ThreatClaw die NIS2-Compliance automatisiert

Das Problem ist nicht, NIS2 zu verstehen. Es geht darum, sie mit begrenzten Ressourcen zu operationalisieren. So adressiert ein autonomer Agent wie ThreatClaw jede Anforderung:

• Risikoanalyse: Kontinuierliches Infrastruktur-Scanning, automatische Asset-Erfassung, Schwachstellenbewertung via EPSS und CVSS

• Vorfallsmanagement: Echtzeit-Erkennung, Ereigniskorrelation, automatische Generierung des Vorfallsberichts im geforderten Format

• Kontinuierliches Auditing: Die 49 Skills von ThreatClaw decken Lynis, Trivy, OWASP ZAP, CIS Benchmarks und mehr ab

• Art.23-Meldung: Der vorläufige Bericht wird in weniger als 15 Minuten nach der Erkennung generiert, mit IoCs, betroffenem Bereich und Schweregradbeurteilung

• Nachverfolgbarkeit: Jede Aktion des Agenten wird protokolliert, mit Zeitstempel versehen und ist exportierbar, genau das, was ein Auditor verlangt

Der Sentinel-Modus überwacht und alarmiert. Der Hybrid-Modus schlägt Abhilfemaßnahmen vor, die Sie freigeben. Der Autonome Modus dämmt die Bedrohung in Echtzeit ein. Die Wahl hängt von Ihrer Reife und Risikobereitschaft ab, aber alle drei Modi erzeugen die Compliance-Dokumentation.

Wo anfangen?

Wenn Sie bei null beginnen, hier ein realistischer 6-Monats-Aktionsplan:

• Monat 1-2: Asset-Inventar, initiale Risikoanalyse, NIS2-Gap-Analyse

• Monat 3-4: Einführung des kontinuierlichen Monitorings, Aufbau des Vorfallsmanagements, Schulung der Teams

• Monat 5-6: Kontinuitätstests, Lieferketten-Audit, Simulation der Art.23-Meldung

Die Bereitstellung von ThreatClaw dauert weniger als 48 Stunden und deckt sofort die Bereiche Erkennung, Vorfallsmanagement und kontinuierliches Auditing ab. Es ist die realistischste Abkürzung für ein KMU, das compliant sein muss, ohne ein ganzes SOC-Team einzustellen.

FAQ

Fällt mein Unternehmen mit 45 Mitarbeitern unter NIS2?

Grundsätzlich nein, der Schwellenwert liegt bei 50 Beschäftigten oder 10 Mio. € Umsatz. Aber wenn Sie DNS-Anbieter, TLD-Register, Vertrauensdiensteanbieter oder kritischer Zulieferer einer betroffenen Einrichtung sind, können Sie unabhängig von Ihrer Größe betroffen sein. Prüfen Sie Ihre Branchenklassifizierung anhand der Anhänge I und II der Richtlinie.

Was ist der Unterschied zwischen NIS2 und der DSGVO?

Die DSGVO schützt personenbezogene Daten. NIS2 schützt die Sicherheit von Netz- und Informationssystemen. Beide überschneiden sich bei einer Datenschutzverletzung: Sie müssen die Datenschutzbehörde innerhalb von 72 Stunden benachrichtigen (DSGVO Art.33) UND das CSIRT innerhalb von 24 Stunden (NIS2 Art.23). Mehr zur DSGVO-Meldepflicht erfahren.

Was kostet die NIS2-Compliance für ein KMU?

Laut ENISA liegen die durchschnittlichen Kosten für ein KMU zwischen 30 000 € und 150 000 € über 2 Jahre, je nach Ausgangsreifegrad. Die Automatisierung durch einen Agenten wie ThreatClaw reduziert den operativen Anteil (Monitoring, Audit, Reporting) erheblich und ermöglicht es, das Budget auf Governance und Schulungen zu konzentrieren.

Gilt NIS2 auch für Unternehmen außerhalb der EU?

Ja, wenn das Unternehmen Dienstleistungen innerhalb der EU in einem betroffenen Sektor erbringt. Es muss dann einen Vertreter in einem Mitgliedstaat benennen. Der Mechanismus ist ähnlich wie bei der DSGVO.