NIS2 klingt groß und abschreckend, ist aber auch in mittelständischen Strukturen greifbar. Wer früh startet, kann viele Anforderungen mit begrenztem Budget erfüllen. Diese Liste zeigt, was Sie in den ersten 30 Tagen realistisch tun können.
Die 10 Sofortmaßnahmen
- Betroffenheit klären: Sektor, Größe (≥ 50 MA oder ≥ 10 Mio. € Umsatz), Lieferkette.
- Geschäftsleitung schulen: NIS2-Haftung nach Art. 20 ist persönlich.
- Asset-Inventar anlegen: Server, Clients, Applikationen, Cloud-Dienste.
- MFA auf alle kritischen Zugänge – Admin-Konten zuerst.
- Backup-Konzept nach 3-2-1-1-Regel, inklusive Immutable-Storage.
- Patch-Management dokumentieren: was, wann, wer verantwortlich.
- Incident-Response-Plan: Rollen, Meldewege, 24-Stunden-Meldung an BSI.
- Netzwerk-Segmentierung prüfen: Produktion, Büro, Gast, IoT getrennt.
- Lieferanten-Inventar: welche Drittanbieter haben Zugriff, wie ist das geregelt?
- Awareness-Programm aufsetzen: quartalsweise Phishing-Simulation plus Module.
Was danach kommt
Nach den Sofortmaßnahmen folgt die Dokumentation: Richtlinien, Verantwortlichkeiten, Prozesse. Plus jährlicher Penetrationstest und wiederkehrende Überprüfungen. Wer früh beginnt, hat zum Geltungsbeginn ein belastbares Fundament, statt in Panik vor dem ersten Audit.