Zuletzt aktualisiert: April 2026 | Autor: Stadtritter GmbH – VdS-zertifizierter Sicherheitsdienstleister seit 2013
2024 trat die NIS2-Richtlinie in nationales Recht um. Viele KMU sind inzwischen betroffen – oft ohne es zu wissen. Wir zeigen, welche Pflichten 2026 gelten, welche Schutzmaßnahmen nötig sind und wie sich physische und digitale Sicherheit verzahnen.
Das Wichtigste in 30 Sekunden:
– NIS2-UmsuCG: Pflichten ab bestimmten Größen und Branchen
– Pflichtregister, Risikomanagement, Incident-Meldung 24h
– Bußgeld bis zu 10 Mio € oder 2 % des weltweiten Jahresumsatzes — der jeweils höhere Betrag gilt
– Physische und digitale Sicherheit gekoppelt
– Schulungen und Dokumentation zentral
Wer ist betroffen?
Unternehmen mit mehr als 50 Mitarbeitern oder 10 Mio. € Umsatz in:
– Energieversorgung
– Gesundheitswesen
– Lebensmittelproduktion
– Abfallentsorgung
– Chemie
– Logistik
– IT-Dienstleister
– Post/Kurier
Und: besonders kritische Einrichtungen unabhängig von Größe (KRITIS).
NIS2-Pflichten
Registrierung
Beim BSI melden. Stand 2026 besteht in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz.
Risikomanagement
Dokumentiertes ISMS mit:
– Risikoanalyse
– Schutzmaßnahmen
– Notfallplanung
– Lieferkettenprüfung
Incident-Meldung
- Binnen 24 Stunden erste Meldung
- 72h Folgemeldung
- Nachbericht innerhalb eines Monats
Geschäftsführung haftet
Persönlich bei Nichterfüllung.
Zentrale Schutzmaßnahmen
Technisch
- Firewalls, IDS/IPS
- Endpoint Detection & Response (EDR)
- Patch-Management
- Multi-Faktor-Authentifizierung
- Backup-Konzept (3-2-1-Regel)
- VPN für Fernzugriff
Organisatorisch
- Rollen- und Rechtekonzept
- Zugriffskontrolle
- Schulungen
- Notfallpläne
- Lieferantenmanagement
Physisch
- Zutrittskontrolle
- Serverraumsicherung
- Videoüberwachung
- USV
- Alarmanlage mit Leitstelle
Warum physische Sicherheit Teil der Cybersecurity ist
- Gestohlenes Notebook = Datenverlust
- Serverraum-Einbruch = Totalausfall
- USB-Zugang = Angriffsweg
- Social Engineering an Rezeption
Sichere Gebäude sind Teil von NIS2.
Rollen und Verantwortlichkeiten
CISO
Chief Information Security Officer. Meist Pflicht ab gewisser Größe.
DSB
Datenschutzbeauftragter. In Deutschland nach BDSG/DSGVO häufig vorgeschrieben.
Notfallmanagement
- BCM-Beauftragter
- Krisenteam
- Kommunikationsverantwortlicher
Vorfalltypen
Ransomware
Erpressung, oft millionenschwer. 2024 ein Drittel aller Meldungen.
Phishing
Mitarbeiter klickt auf Link, Credentials weg.
DDoS
Überlastung der Dienste.
Supply-Chain-Angriff
Über Lieferanten (z. B. Software-Update).
Insider
Mitarbeiter entwendet Daten.
Schulungen
- Basis-Security-Awareness
- Phishing-Simulationen
- Social-Engineering-Tests
- Rollen-spezifische Tiefenschulung (IT, Führungskräfte)
Mindestens jährlich.
Backup und Recovery
3-2-1-Regel
- 3 Kopien der Daten
- 2 verschiedene Medien
- 1 offline oder offsite
Recovery-Test
- Monatlich partielle Restores
- Jährlich Full-DR-Test
- Dokumentiert
Zugriffs- und Schlüsselmanagement
- Wer hat welchen Zugang?
- Revision bei Austritt sofort
- Logging aller Zugriffe
- Passwort-Manager Pflicht
Netzwerksegmentierung
- IT/OT getrennt
- IoT in eigenem VLAN
- Gast-WLAN isoliert
- Serversubnet separat
Siehe Fachartikel IoT-Sicherheit 2026.
Cloud-Sicherheit
- DSGVO-konforme Anbieter (EU-Hosting)
- Verschlüsselung at rest + in transit
- MFA für Admins
- Backup lokal
Mobiles Arbeiten
- VPN
- Mobile Device Management (MDM)
- Festplattenverschlüsselung
- Verlust-Protokoll
Notfallpläne
IT-Ausfall
- Wiederanlaufreihenfolge
- Schlüsselanwendungen priorisiert
- Kommunikationswege offline verfügbar
Cyber-Angriff
- Incident-Response-Team
- Abschalten nach Runbook
- Externe Expertise (Forensik)
- BSI-Meldung
Physischer Notfall
- Gebäude-Evakuierung
- Server-Schutz
- Backup-Offsite
Versicherung
- Cyber-Police
- Betriebsunterbrechungsversicherung
- Haftpflicht für DSGVO-Vorfälle
- Prämien-Rabatte mit dokumentiertem Konzept
Siehe Fachartikel Versicherungsprämien senken.
Zusammenarbeit mit BSI
- Vorfallmeldung
- Informationsaustausch
- Beratungsleistungen
- Zertifizierungen (BSI IT-Grundschutz)
ISO 27001
Zunehmend erwartet als Nachweis strukturierter Sicherheit. Für KMU oft nicht zwingend, aber Vorteil bei B2B-Geschäft.
Stadtritter-Paket KMU
Unser Paket verbindet:
– Physische Sicherheit (Alarm, Zutritt, Video)
– Leitstelle 24/7
– Beratung zu NIS2
– Vermittlung IT-Security-Partner
– Schulung Mitarbeiter
– Dokumentation
Beispielszenario
Mittelständischer Logistiker (120 MA)
- Firewalls und EDR bestehend
- Physisch: Alarmanlage mit Leitstelle (Stadtritter)
- Zutrittskontrolle
- Videoüberwachung Lager
- Dokumentation
- Schulungen
Kosten
- Basis-Konzept KMU: 15.000–40.000 € einmalig
- Laufend: 500–2.500 €/Monat
- Skalierbar nach Größe
Haftung
- §91 AktG/§43 GmbHG: Sorgfaltspflicht
- Bußgelder gemäß NIS2-UmsuCG: bis zu 10 Mio € oder 2 % des weltweiten Jahresumsatzes — Maximum aus beiden Werten gilt (Quelle: NIS2-UmsuCG, BMI-Referentenentwurf)
- DSGVO-Bußgelder bis 20 Mio € oder 4 % Jahresumsatz (DSGVO Art. 83) — separat möglich
- Persönliche Haftung der Geschäftsleitung
Audit und Zertifizierung
- Interne Audits
- Externe NIS2-Audits
- ISO 27001-Audit
- Jahresbericht an Geschäftsleitung
Trends 2026
- Zero Trust als Standard
- KI-gestützte Angriffe
- Post-Quantum-Krypto-Diskussion
- Lieferketten-Fokus
Mid-Content-CTA: Sie sind unsicher, ob NIS2 Sie betrifft? Stadtritter NIS2-Check – Status, Pflichten, Maßnahmen.
Häufig gestellte Fragen
Bin ich NIS2-betroffen?
Wenn Größe + Branche passt, ja. Kontakt zu BSI oder Beratern.
Was kostet ein Konzept?
Je nach Größe 15.000 € aufwärts.
Reicht IT-Sicherheit?
Nein, physische Sicherheit ist Teil.
Wer haftet?
Die Geschäftsleitung persönlich.
Wie lange dauert die Umsetzung?
6–12 Monate realistisch.
Helfen Berater?
Ja, kombiniert mit IT-Security-Partnern.
