NIS2 kleine Unternehmen: Betrifft Sie das? Meist nicht – aber Ihre Kunden
Berater verbreiten NIS2-Panik, um Audits zu verkaufen. Die Wahrheit: Die meisten Kleinbetriebe fallen nicht direkt unter die Richtlinie. Trotzdem klopft NIS2 bei vielen an – über die Verträge ihrer Kunden. Was jetzt zählt und was Sie sich sparen können.
Vielleicht liegt so eine Mail schon in Ihrem Postfach: »NIS2 betrifft auch Sie! Sichern Sie sich jetzt Ihr Compliance-Audit.« Absender: eine Beratung, von der Sie noch nie gehört haben. Preis: gern vierstellig.
Bevor Sie zahlen, eine einfache Frage: Sind Sie überhaupt betroffen? Meist nicht. Die meisten kleinen Betriebe fallen schlicht nicht direkt unter NIS2. Das steht so in der Richtlinie. Die Panik-Mail verschweigt es.
Erledigt ist das Thema damit trotzdem nicht. NIS2 erreicht kleine Unternehmen über einen Umweg: über die Verträge ihrer Kunden. Genau darüber sollten wir reden.
Was NIS2 überhaupt ist
NIS2 ist eine EU-Richtlinie für Cybersicherheit, der Name steht für »Network and Information Security«, zweite Auflage. Sie verpflichtet Unternehmen aus bestimmten Branchen, ihre IT nachweisbar abzusichern: Risiken bewerten, Vorfälle melden, Backups und Zugänge im Griff haben. Verstöße können Bußgelder kosten, und die Geschäftsleitung steht persönlich in der Verantwortung.
Deutschland muss die Richtlinie noch in ein eigenes Gesetz gießen. Dieser Prozess hat sich mehrfach verzögert, deshalb behaupte ich hier bewusst kein Datum. Für Ihre Planung ist das ohnehin zweitrangig. Entscheidend sind zwei Fragen: Welche Branche? Welche Größe?
Wer direkt unter NIS2 fällt
Die Richtlinie sortiert Unternehmen in »wesentliche« und »wichtige« Einrichtungen. Übersetzt: Betriebe, deren Ausfall das Land spürt. Dazu zählen unter anderem Energie, Trinkwasser, Gesundheit, Transport, Banken und digitale Infrastruktur, außerdem Bereiche wie Abfallwirtschaft, Chemie, Lebensmittel, Maschinen- und Fahrzeugbau, Post und bestimmte digitale Dienste.
Zur Branche kommt die Größe. Die Faustregel: ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme, und auch das nur innerhalb der genannten Sektoren. Es gibt Ausnahmen, bei denen die Größe keine Rolle spielt, etwa bei Teilen der digitalen Infrastruktur. Für den typischen Malerbetrieb, die Kanzlei mit vier Leuten oder den kleinen Onlineshop bleibt es dabei: nicht direkt betroffen.
| Ihre Situation | Direkt unter NIS2? |
|---|---|
| Unter 50 Mitarbeiter, unter 10 Mio. € Umsatz, kein Sonderfall | In aller Regel nein |
| Ab 50 Mitarbeiter oder über 10 Mio. € Umsatz, Sektor auf der Liste | Sehr wahrscheinlich ja, prüfen |
| Anbieter digitaler Infrastruktur (z. B. Rechenzentrum, DNS, Telekommunikation) | Sonderregeln, teils unabhängig von der Größe |
| Zulieferer oder Dienstleister eines betroffenen Unternehmens | Nein, aber die Pflichten kommen per Vertrag |
Wenn Sie es genau wissen wollen: Das BSI, die Bundesbehörde für IT-Sicherheit, informiert auf bsi.bund.de zur NIS2-Betroffenheit. Verschaffen Sie sich dort einen Überblick, bevor Sie irgendein Angebot unterschreiben.
Der Lieferketten-Effekt: So kommt NIS2 doch bei Ihnen an
Jetzt der Teil, den die Panik-Mails andeuten, aber falsch begründen. Betroffene Unternehmen müssen auch ihre Lieferkette absichern. Übersetzt: Wer unter NIS2 fällt, muss prüfen, wie es um die IT-Sicherheit seiner Dienstleister und Zulieferer steht. Und reicht die Anforderungen weiter. Per Vertrag, per Fragebogen, per Einkaufsbedingung.
Ein Beispiel, wie es gerade überall passiert: Ein Metallbaubetrieb mit zwölf Leuten beliefert einen Energieversorger. Der Versorger fällt unter NIS2. Also landet beim Metallbauer ein Fragebogen: Wie sichern Sie Ihre Systeme? Nutzen Sie Multi-Faktor-Authentifizierung, also einen zweiten Anmeldefaktor neben dem Passwort? Wann haben Sie zuletzt ein Backup testweise zurückgespielt? Wer da nichts vorweisen kann, steht bei der nächsten Ausschreibung hinter dem Wettbewerber, der liefern kann.
Das ist der echte Hebel für kleine Unternehmen. Nicht das Bußgeld vom Staat. Der Auftrag, der wegbricht.
Erst prüfen, dann zahlen
Womit wir bei den Beratern wären, die aus NIS2 ein Geschäftsmodell gebaut haben: Angst erzeugen, Audit verkaufen, Rechnung stellen. Ob der Kunde überhaupt betroffen ist, wird dabei auffällig selten geprüft.
Bevor Sie für irgendein NIS2-Paket unterschreiben, stellen Sie drei Fragen:
- »Fällt mein Betrieb direkt unter NIS2, und wenn ja, über welchen Sektor?« Wer das nicht in zwei Sätzen beantworten kann, will Ihre Angst, nicht Ihre Sicherheit.
- »Welcher meiner Kunden verlangt konkret welche Nachweise?« Lieferketten-Anforderungen stehen in Verträgen und Fragebögen, nicht in Werbeprospekten.
- »Was davon ist NIS2-spezifisch, und was ist normaler Grundschutz?« Die ehrliche Antwort lautet fast immer: Das meiste ist Grundschutz.
Ich verdiene mein Geld mit IT-Sicherheit und sage trotzdem: Ein Audit für einen Betrieb, der gar nicht betroffen ist, ist kein Audit. Es ist eine teure Beruhigungspille.
Was ohnehin sinnvoll ist, NIS2 hin oder her
Die unbequeme Pointe: Fast alles, was NIS2 von großen Unternehmen verlangt, ist für kleine Betriebe sowieso vernünftig. Nicht wegen Brüssel, sondern weil Angriffe heute automatisiert laufen. »Wir sind zu klein für Hacker« ist die gefährlichste Lüge der Branche. Die Schadsoftware sucht sich keine Konzerne aus. Sie sucht offene Türen.
Diese fünf Punkte decken den Kern ab:
- Multi-Faktor-Authentifizierung für alle wichtigen Konten, zuerst fürs E-Mail-Postfach. Das ist der Generalschlüssel für sämtliche Passwort-Resets.
- Backups nach der 3-2-1-Regel: drei Kopien, zwei verschiedene Speicherorte, eine Kopie außer Haus. Und einmal im Quartal testweise eine Datei zurückholen.
- Updates ohne Aufschub: Betriebssysteme, Router, Firewall, Website. Bekannte Lücken sind das Haupteinfallstor, nicht geniale Hacker.
- Ein Vorfallsplan auf einer Seite: Wen rufen Sie an, was wird abgeschaltet, wo liegen die Backups, wer informiert Kunden.
- Zugänge aufräumen: Passwörter in einen Passwort-Manager statt in eine Excel-Liste, ausgeschiedene Mitarbeiter sofort aus allen Konten entfernen.
Mit dieser Liste beantworten Sie die meisten Kundenfragebögen aus dem Stand. Wenn Sie das nicht allein stemmen wollen: Genau solche Grundlagen richte ich ein, nüchtern und nachvollziehbar. Wie so etwas bei mir abläuft, sehen Sie unter Netzwerk und Sicherheit.
Wann NIS2 für Sie einfach vom Tisch ist
Ich sage es offen: Wenn Ihre Kunden Privatleute sind, kein Konzern Ihnen Fragebögen schickt und Ihr Betrieb unter den Schwellen liegt, brauchen Sie keine NIS2-Beratung. Kein Audit, keine Gap-Analyse, kein Zertifikat mit goldenem Siegel. Wer Ihnen trotzdem eins verkaufen will, verkauft Dekoration.
Was Sie trotzdem brauchen, ist die Liste oben. Ransomware, also Erpressungssoftware, die Ihre Daten verschlüsselt, fragt nicht nach Sektoren und Schwellenwerten. Sie fragt nach offenen Fernzugängen und Passwörtern von 2015.
Also noch einmal, ganz konkret: Betrifft NIS2 kleine Unternehmen wie Ihres? Direkt fast nie, über die Aufträge Ihrer Kunden dagegen immer öfter. Wo genau Sie in dieser Rechnung stehen, und ob ein bestimmter Kundenfragebogen echte Pflicht oder bloß Verkaufsdruck bedeutet, klären wir in einem kostenlosen Erstgespräch. Sie schildern mir per Video Ihre Lage, von überall in Deutschland und ohne Zwischenhändler, und ich sage Ihnen geradeheraus, was zu tun ist und was Sie getrost ignorieren dürfen. Manchmal ist die kürzeste Beratung die, die Ihnen ein vierstelliges Audit erspart.
