Eine NIS2-Readiness-Checkliste für den europäischen Mittelstand

Die NIS2-Richtlinie weitet die Cybersicherheitspflichten der EU auf Tausende mittelständischer Organisationen aus, die bisher außerhalb ihres Geltungsbereichs lagen. Ob Sie eine Produktionsstätte in Bayern, ein Logistikzentrum in Rotterdam oder ein Softwarehaus in Warschau betreiben — die Frage ist nicht mehr ob NIS2 für Sie gilt, sondern wie Sie Compliance nachweisen, bevor Ihre zuständige Behörde danach fragt.

1. Bestätigen Sie Ihre Kategorie

NIS2 unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen. Eine Fehlklassifizierung ist der häufigste frühe Fehler — sie ändert sowohl Ihre Meldefristen als auch die Höhe der drohenden Bußgelder. Ordnen Sie Ihre Tätigkeitsbereiche den Anhängen I und II der Richtlinie zu, bevor Sie etwas anderes tun.

2. Etablieren Sie ein Cybersicherheits-Mandat auf Vorstandsebene

Die Richtlinie führt eine persönliche Haftung für Führungskräfte ein. Dokumentieren Sie, wer auf Vorstandsebene das Cybersicherheitsrisiko verantwortet, halten Sie dies in Ihrem Governance-Rahmenwerk fest und stellen Sie sicher, dass Ihre Protokolle echte Aufsicht zeigen — nicht bloßes Abhaken.

3. Betreiben Sie eine risikobasierte Cybersicherheitsrichtlinie

NIS2 erwartet eine schriftliche, vom Vorstand genehmigte Richtlinie, die Kontrollen mit messbaren Risiken verknüpft. Generische Vorlagen aus dem Internet halten der Prüfung nicht stand.

4. Führen Sie einen glaubwürdigen Vorfallsmanagementprozess durch

Sie müssen erhebliche Vorfälle innerhalb von 24 Stunden nach Erkennung an Ihr CSIRT melden (Frühwarnung), 72 Stunden (Benachrichtigung) und einen Monat (Abschlussbericht). Führen Sie Tabletop-Übungen jetzt durch, um sicherzustellen, dass Sie diese Fenster unter Stress einhalten können.

5. Adressieren Sie die Lieferkette

NIS2 macht Sie verantwortlich für die Bewertung der Sicherheit Ihrer direkten Lieferanten und Dienstleister. Gehen Sie über den jährlichen Fragebogen hinaus — führen Sie kontinuierliche Attestierung ein.

6. Decken Sie die Grundlagen ab, die Auditoren zuerst prüfen

• Multi-Faktor-Authentifizierung für alle privilegierten und Remote-Zugriffe
• Patch-Management mit dokumentierter SLA
• Backup-, Restore- und Disaster-Recovery-Tests innerhalb der letzten 12 Monate
• Verschlüsselung von Daten in Transit und im Ruhezustand
• Dokumentierter Identitäts- und Zugriffsmanagement-Lebenszyklus

7. Bereiten Sie Ihren Beweisraum vor

Auditoren bewerten nicht, was Sie sagen — sie bewerten, was Sie nachweisen können. Bauen Sie ein Single-Source-of-Truth-Repository für Richtlinien, Risikobewertungen, Schulungsaufzeichnungen, Vorfallsberichte und Asset-Inventare auf.

8. Testen Sie Ihre Erkennungs- und Reaktionsfähigkeit

Penetrationstests, Red-Team-Übungen und Tabletop-Incident-Response sind nicht mehr optional. Planen Sie sie, finanzieren Sie sie und handeln Sie nach den Ergebnissen.

9. Schulen Sie Menschen, nicht nur Administratoren

Die Richtlinie erwartet Sicherheitsbewusstsein in der gesamten Organisation. Gezielte Schulungen für Finanzen, HR und Engineering sind weitaus effektiver als generisches E-Learning.

10. Etablieren Sie kontinuierliche Überwachung

Ein 24/7-SOC — ob intern, hybrid oder ausgelagert — ist der Unterschied zwischen dem Erkennen eines Vorfalls und seiner Erklärung gegenüber Ihrem Regulator nach dem Ereignis.

11. Dokumentieren Sie das Restrisiko

NIS2 fordert nicht null Risiko. Es fordert, dass Sie Ihr Restrisiko bewusst verstehen und akzeptieren, mit den richtigen informierten Personen.

12. Führen Sie einen Pre-Audit-Probelauf durch

Beauftragen Sie einen Dritten — Ihren Assessor, Ihren MDR-Anbieter, Ihren Berater — den vollständigen Beweispfad zwei Monate vor Ihrer tatsächlichen Bewertung zu prüfen.

Wo WPROIT hilft: Unser Beratungsteam führt beschleunigte NIS2-Readiness-Bewertungen über alle 12 oben genannten Bereiche durch und liefert in der Regel einen vorstandsreifen Bericht in unter sechs Wochen.