Fast die Hälfte der deutschen KMU weiß laut aktuellen Erhebungen noch nicht, ob sie von NIS2 betroffen ist. Das ist riskant, denn die Richtlinie erfasst nicht nur direkt regulierte Branchen. Wer als Zulieferer oder Dienstleister für ein größeres, NIS2-pflichtiges Unternehmen arbeitet, wird über Vertragsanforderungen faktisch mit hineingezogen – etwa Arztpraxen im Verbund mit Kliniken oder Kanzleien mit Behördenaufträgen.
Wer ist konkret betroffen
NIS2 unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen, gestaffelt nach Branche, Mitarbeiterzahl und Umsatz. Auch wenn ein Unternehmen unterhalb der Schwellenwerte liegt, kann eine mittelbare Betroffenheit über die Lieferkette entstehen.
| Kategorie | Beispielbranchen | Typische Schwelle |
|---|---|---|
| Wesentlich | Energie, Gesundheit, Verkehr, Finanzwesen | ab 250 Mitarbeitende oder 50 Mio. € Umsatz |
| Wichtig | Digitale Dienste, Post, Abfallwirtschaft, verarbeitendes Gewerbe | ab 50 Mitarbeitende oder 10 Mio. € Umsatz |
| Mittelbar betroffen | Zulieferer und IT-Dienstleister der obigen Branchen | unabhängig von der eigenen Größe |
Was NIS2 konkret verlangt
Im Kern fordert die Richtlinie ein strukturiertes Risikomanagement, technische und organisatorische Schutzmaßnahmen sowie strenge Meldepflichten bei Sicherheitsvorfällen. Erste Meldungen müssen binnen 24 Stunden nach Bekanntwerden erfolgen.
Risikomanagement
Systematische Erfassung und Bewertung von Cyberrisiken entlang der gesamten IT- und OT-Landschaft.
Meldepflichten
Erstmeldung innerhalb von 24 Stunden, Zwischenbericht nach 72 Stunden, Abschlussbericht nach einem Monat.
Business Continuity
Notfallpläne und Wiederanlaufkonzepte für den Ausfall kritischer Systeme.
Lieferkettensicherheit
Bewertung und Absicherung von Risiken bei Dienstleistern und Zulieferern.
Praxisbeispiel: Zahnarztpraxis im Verbund
Eine Praxis in der Region Main-Tauber ist selbst zu klein, um direkt NIS2-pflichtig zu sein. Da sie jedoch Patientendaten mit einer Klinik austauscht, verlangt die Klinik inzwischen vertraglich einen Nachweis über MFA, Backup-Konzept und Incident-Response-Plan. Ohne diese Nachweise droht der Verlust der Zusammenarbeit.
Erste Schritte zur Umsetzung
Betroffenheit klären
Prüfen, ob eine direkte oder mittelbare Betroffenheit über Kunden- und Lieferantenbeziehungen besteht.
Basisschutz etablieren
MFA für Mail, VPN und kritische Anwendungen, strukturiertes Patch-Management, getrennte Backups nach dem 3-2-1-Prinzip.
Incident-Response-Plan aufsetzen
Klare Zuständigkeiten und Abläufe für den Ernstfall, abgestimmt auf die gesetzlichen Meldefristen.
Wichtig: Auch ohne direkte NIS2-Pflicht lohnt sich die Umsetzung der Basisanforderungen. Sie reduziert das eigene Ausfallrisiko und wird zunehmend zur Voraussetzung für Aufträge größerer Kunden.
Fazit
Die NIS2 Umsetzung für KMU ist in Baden-Württemberg längst keine theoretische Zukunftsfrage mehr. Unternehmen in Wertheim und im Main-Tauber-Kreis sollten jetzt klären, wo sie stehen, statt auf eine mögliche Kontrolle zu warten.
NIS2-Check für Ihr Unternehmen
Die CoKom Computer & Kommunikation GmbH unterstützt Unternehmen und Praxen in Wertheim und der Region Main-Tauber bei der Umsetzung von NIS2-Basisanforderungen – von MFA über Backup-Konzepte bis zum Incident-Response-Plan. Mehr zu unseren IT-Sicherheitsleistungen oder speziell für Praxen unter Medizin-IT.