Zuletzt aktualisiert: April 2026 | Autor: Stadtritter GmbH, Betreiber einer VdS-zertifizierten Notruf- und Serviceleitstelle, seit 2013 aktiv
2024 trat die NIS2-Richtlinie in nationales Recht um. Viele KMU sind inzwischen betroffen, oft ohne es zu wissen. Dieser Beitrag zeigt, welche Pflichten 2026 gelten, welche Schutzmaßnahmen nötig sind und wie sich physische und digitale Sicherheit verzahnen.
Das Wichtigste in 30 Sekunden:
– NIS2-UmsuCG: Pflichten ab bestimmten Größen und Branchen
– Pflichtregister, Risikomanagement, Incident-Meldung 24h
– Bußgeld bis zu 10 Mio € oder 2 % des weltweiten Jahresumsatzes, der jeweils höhere Betrag gilt
– Physische und digitale Sicherheit gekoppelt
– Schulungen und Dokumentation zentral
Wer ist betroffen?
Unternehmen mit mehr als 50 Mitarbeitern oder 10 Mio. € Umsatz in:
– Energieversorgung
– Gesundheitswesen
– Lebensmittelproduktion
– Abfallentsorgung
– Chemie
– Logistik
– IT-Dienstleister
– Post/Kurier
Und: besonders kritische Einrichtungen unabhängig von Größe (KRITIS).
NIS2-Pflichten
Registrierung
Beim BSI melden. Stand 2026 besteht in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz.
Risikomanagement
Dokumentiertes ISMS mit:
– Risikoanalyse
– Schutzmaßnahmen
– Notfallplanung
– Lieferkettenprüfung
Incident-Meldung
- Binnen 24 Stunden erste Meldung
- 72h Folgemeldung
- Nachbericht innerhalb eines Monats
Geschäftsführung haftet
Persönlich bei Nichterfüllung.
Zentrale Schutzmaßnahmen
Technisch
- Firewalls, IDS/IPS
- Endpoint Detection & Response (EDR)
- Patch-Management
- Multi-Faktor-Authentifizierung
- Backup-Konzept (3-2-1-Regel)
- VPN für Fernzugriff
Organisatorisch
- Rollen- und Rechtekonzept
- Zugriffskontrolle
- Schulungen
- Notfallpläne
- Lieferantenmanagement
Physisch
- Zutrittskontrolle
- Serverraumsicherung
- Videoüberwachung
- USV
- Alarmanlage mit Leitstelle
Warum physische Sicherheit Teil der Cybersecurity ist
- Gestohlenes Notebook = Datenverlust
- Serverraum-Einbruch = Totalausfall
- USB-Zugang = Angriffsweg
- Social Engineering an Rezeption
Sichere Gebäude sind Teil von NIS2.
Rollen und Verantwortlichkeiten
CISO
Chief Information Security Officer. Meist Pflicht ab gewisser Größe.
DSB
Datenschutzbeauftragter. In Deutschland nach BDSG/DSGVO häufig vorgeschrieben.
Notfallmanagement
- BCM-Beauftragter
- Krisenteam
- Kommunikationsverantwortlicher
Vorfalltypen
Ransomware
Erpressung, oft millionenschwer. 2024 ein Drittel aller Meldungen.
Phishing
Mitarbeiter klickt auf Link, Credentials weg.
DDoS
Überlastung der Dienste.
Supply-Chain-Angriff
Über Lieferanten (z. B. Software-Update).
Insider
Mitarbeiter entwendet Daten.
Schulungen
- Basis-Security-Awareness
- Phishing-Simulationen
- Social-Engineering-Tests
- Rollen-spezifische Tiefenschulung (IT, Führungskräfte)
Mindestens jährlich.
Backup und Recovery
3-2-1-Regel
- 3 Kopien der Daten
- 2 verschiedene Medien
- 1 offline oder offsite
Recovery-Test
- Monatlich partielle Restores
- Jährlich Full-DR-Test
- Dokumentiert
Zugriffs- und Schlüsselmanagement
- Wer hat welchen Zugang?
- Revision bei Austritt sofort
- Logging aller Zugriffe
- Passwort-Manager Pflicht
Netzwerksegmentierung
- IT/OT getrennt
- IoT in eigenem VLAN
- Gast-WLAN isoliert
- Serversubnet separat
Siehe Fachartikel IoT-Sicherheit 2026.
Cloud-Sicherheit
- DSGVO-konforme Anbieter (EU-Hosting)
- Verschlüsselung at rest + in transit
- MFA für Admins
- Backup lokal
Mobiles Arbeiten
- VPN
- Mobile Device Management (MDM)
- Festplattenverschlüsselung
- Verlust-Protokoll
Notfallpläne
IT-Ausfall
- Wiederanlaufreihenfolge
- Schlüsselanwendungen priorisiert
- Kommunikationswege offline verfügbar
Cyber-Angriff
- Incident-Response-Team
- Abschalten nach Runbook
- Externe Expertise (Forensik)
- BSI-Meldung
Physischer Notfall
- Gebäude-Evakuierung
- Server-Schutz
- Backup-Offsite
Versicherung
- Cyber-Police
- Betriebsunterbrechungsversicherung
- Haftpflicht für DSGVO-Vorfälle
- Prämien-Rabatte mit dokumentiertem Konzept
Siehe Fachartikel Versicherungsprämien senken.
Zusammenarbeit mit BSI
- Vorfallmeldung
- Informationsaustausch
- Beratungsleistungen
- Zertifizierungen (BSI IT-Grundschutz)
ISO 27001
Zunehmend erwartet als Nachweis strukturierter Sicherheit. Für KMU oft nicht zwingend, aber Vorteil bei B2B-Geschäft.
Stadtritter-Paket KMU
Das Paket verbindet:
– Physische Sicherheit (Alarm, Zutritt, Video)
– Leitstelle 24/7
– Beratung zu NIS2
– Vermittlung IT-Security-Partner
– Schulung Mitarbeiter
– Dokumentation
Beispielszenario
Mittelständischer Logistiker (120 MA)
- Firewalls und EDR bestehend
- Physisch: Alarmanlage mit Leitstelle (Stadtritter)
- Zutrittskontrolle
- Videoüberwachung Lager
- Dokumentation
- Schulungen
Kosten
- Basis-Konzept KMU: 15.000 bis 40.000 € einmalig
- Laufend: 500 bis 2.500 €/Monat
- Skalierbar nach Größe
Haftung
- §91 AktG/§43 GmbHG: Sorgfaltspflicht
- Bußgelder gemäß NIS2-UmsuCG: bis zu 10 Mio € oder 2 % des weltweiten Jahresumsatzes, Maximum aus beiden Werten gilt (Quelle: NIS2-UmsuCG, BMI-Referentenentwurf)
- DSGVO-Bußgelder bis 20 Mio € oder 4 % Jahresumsatz (DSGVO Art. 83), separat möglich
- Persönliche Haftung der Geschäftsleitung
Audit und Zertifizierung
- Interne Audits
- Externe NIS2-Audits
- ISO 27001-Audit
- Jahresbericht an Geschäftsleitung
Trends 2026
- Zero Trust als Standard
- KI-gestützte Angriffe
- Post-Quantum-Krypto-Diskussion
- Lieferketten-Fokus
Sie sind unsicher, welche Sicherheitsmaßnahmen für Ihr Unternehmen sinnvoll sind? Kostenfreie Sicherheitsberatung: Ihre Situation wird individuell analysiert.
Häufig gestellte Fragen
Bin ich NIS2-betroffen?
Wenn Größe + Branche passt, ja. Kontakt zu BSI oder Beratern.
Was kostet ein Konzept?
Je nach Größe 15.000 € aufwärts.
Reicht IT-Sicherheit?
Nein, physische Sicherheit ist Teil.
Wer haftet?
Die Geschäftsleitung persönlich.
Wie lange dauert die Umsetzung?
6 bis 12 Monate realistisch.
Helfen Berater?
Ja, kombiniert mit IT-Security-Partnern.
Kostenfreie Sicherheitsberatung | Leitstelle | IoT-Sicherheit
