NIS2 in Deutschland: Welche Pflichten kleine Betriebe indirekt über ihre Kunden treffen

Mit dem NIS2 Umsetzungsgesetz hat Deutschland die europäische Richtlinie zur Cybersicherheit in nationales Recht übertragen. Betroffen sind nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik rund 29.500 Einrichtungen, darunter mittlere Unternehmen ab 50 Beschäftigten oder zehn Millionen Euro Umsatz in bestimmten Sektoren wie Energie, Transport, Gesundheit, Abfallwirtschaft und digitale Dienste.

Die meisten Handwerks und Dienstleistungsbetriebe fallen nicht direkt darunter. Die Pflichten wirken dennoch in die Lieferkette hinein. Direkt erfasste Unternehmen müssen die Sicherheit ihrer Zulieferer bewerten und fragen deshalb zunehmend nach Mindeststandards: Mehrfaktor Anmeldung, regelmäßige Datensicherung, ein benannter Ansprechpartner für Sicherheitsvorfälle.

Wer solche Fragebögen beantworten kann, verschafft sich einen Vorteil bei der Auftragsvergabe. Einen guten Einstieg bietet der kostenlose Cyber Risiko Check nach DIN SPEC 27076, den IT Dienstleister für kleine Unternehmen durchführen. Er dauert rund zwei Stunden und endet mit einem Bericht, der konkrete Maßnahmen nach Dringlichkeit ordnet.

Die wichtigsten Maßnahmen kosten wenig. Getrennte Konten für Verwaltung und Alltag, automatische Updates, eine Sicherung, die nicht dauerhaft mit dem Netzwerk verbunden ist, und eine kurze Schulung für alle Beschäftigten zum Erkennen gefälschter Mails. Diese vier Punkte decken einen Großteil der Vorfälle ab, die kleine Betriebe in der Praxis treffen.