NIS-2 ohne Panik — was kleine Betriebe wirklich tun sollten

Der typische Erstkontakt mit NIS-2 sieht so aus: Ein Betrieb mit fünfzehn Leuten bekommt von seinem größten Kunden einen Fragebogen. Zwölf Seiten, Überschrift „Informationssicherheit in der Lieferkette", Rücksendefrist vier Wochen. Panik.

Atmen wir kurz durch.

Wen NIS-2 wirklich trifft — und wen indirekt

NIS-2 ist eine EU-Richtlinie für die Sicherheit kritischer und wichtiger Einrichtungen — Energie, Gesundheit, Transport, digitale Dienste und etliche mehr, ab bestimmten Unternehmensgrößen. Der Zwölf-Mann-Betrieb fällt selten direkt darunter. Aber: Die Richtlinie verpflichtet die großen Unternehmen, ihre Lieferkette abzusichern. Und so landet das Thema per Fragebogen auf Ihrem Schreibtisch — nicht vom Gesetzgeber, sondern vom Kunden, den Sie nicht verlieren wollen.

Das ist lästig. Es ist aber auch eine Chance: Wer gute Antworten geben kann, hebt sich von Mitbewerbern ab, die den Fragebogen aussitzen.

Die unbequeme Wahrheit: Es geht um Grundlagen

Wer die Fragebögen studiert, stellt fest: Gefragt wird selten nach Exotischem, sondern danach, ob die Hausaufgaben gemacht sind — gibt es getestete Backups, sind Zugriffsrechte geregelt, werden Updates zeitnah eingespielt, ist das Netzwerk segmentiert, existiert ein Notfallplan, wird protokolliert, wer was darf?

Das ist kein Zufall: Diese Grundlagen decken sich weitgehend mit dem, was das BSI seit Jahren im Grundschutz beschreibt. Es sind dieselben Maßnahmen, die auch ohne jede Richtlinie sinnvoll sind — weil sie Verschlüsselungs-Trojaner, Datenverlust und Betriebsausfall abwehren. NIS-2 erfindet die IT-Sicherheit nicht neu. Sie sorgt nur dafür, dass mehr Betriebe sie ernst nehmen müssen.

Was wir tun — und was ehrlicherweise nicht

An dieser Stelle sind wir gern präzise, weil auf diesem Markt gerade viel heiße Luft verkauft wird: Wir sind nicht zertifiziert und ersetzen keinen Auditor. Was wir können, ist die technische Seite — und die kennen wir aus der Praxis: Netzwerke segmentieren, Zugriffe härten, Backup- und Notfallkonzepte umsetzen, Protokollierung aufsetzen, Nachweise technisch vorbereiten. Wir haben Betriebe in solchen Prozessen begleitet und arbeiten uns strukturiert an den BSI-Grundschutz-Bausteinen entlang — eng abgestimmt mit dem, der bei Ihnen für den Prozess verantwortlich ist.

Kurz gesagt: Den Stempel gibt es woanders — wir bauen die Substanz, die er bestätigen soll.

Der vernünftige erste Schritt

Nicht der Zwölf-Seiten-Fragebogen, sondern eine ehrliche Bestandsaufnahme: Wo steht Ihre IT bei Backups, Rechten, Updates, Netzwerk? Bei uns heißt dieser Schritt bei Praxen und Betrieben mit hochsensiblen Daten ISA-Analyse und steht dort verpflichtend am Anfang der Betreuung — alle anderen starten mit der Neukunden-Einrichtung zum Festpreis, die dieselbe Bestandsaufnahme enthält. Wer den Zustand kennt, kann Fragebögen gelassen beantworten — und Lücken planvoll schließen, statt in vier Wochen Hektik.

Wer so vorgeht, kann den nächsten Fragebogen gelassen aus dem Umschlag ziehen.