Kleine und mittlere Unternehmen galten lange als uninteressant für Angreifer. Das hat sich gedreht: Automatisierte Angriffe unterscheiden nicht nach Unternehmensgröße, und wer weniger Schutz hat, ist das leichtere Ziel. Parallel zieht der Gesetzgeber die Anforderungen an.
Wir haben dieses Thema im Sommer 2025 gemeinsam mit Hornetsecurity und dem IT-Rechtsanwalt Karsten U. Bartels, LL.M. in einem kostenfreien Webinar behandelt. Weil die Fragen danach nicht abgerissen sind, hier die Kernpunkte zum Nachlesen.
Die drei Regelwerke, die zusammenwirken
DSGVO. Gilt seit Jahren für jedes Unternehmen, das personenbezogene Daten verarbeitet – also praktisch für alle. Verlangt werden technische und organisatorische Maßnahmen „nach dem Stand der Technik". Ein System ohne Sicherheitsupdates erfüllt das nicht.
NIS-2. Erweitert den Kreis der betroffenen Unternehmen erheblich. Betroffen sind nicht nur kritische Infrastrukturen, sondern auch Zulieferer und Dienstleister in vielen Branchen. Gefordert werden unter anderem Risikomanagement, Meldewege für Sicherheitsvorfälle, Zugriffskontrolle und die Absicherung der Lieferkette. Die Verantwortung liegt ausdrücklich bei der Geschäftsführung.
Cyber Resilience Act. Nimmt Hersteller vernetzter Produkte in die Pflicht – Sicherheitsanforderungen über den gesamten Produktlebenszyklus. Relevant für alle, die Geräte mit Software oder Netzwerkanbindung herstellen oder in Verkehr bringen.
Was das praktisch bedeutet
Die gute Nachricht: Die geforderten Maßnahmen sind selten exotisch. Es sind überwiegend Dinge, die ohnehin sinnvoll sind – nur werden sie jetzt verbindlich und müssen nachweisbar sein.
Der Nachweis ist der Punkt, an dem die meisten Unternehmen straucheln. Ein funktionierendes Backup allein genügt nicht, wenn niemand dokumentiert hat, was gesichert wird und wann zuletzt eine Wiederherstellung getestet wurde.
Maßnahmen mit dem besten Verhältnis von Aufwand zu Wirkung
Wenn das Budget begrenzt ist, würden wir in dieser Reihenfolge vorgehen:
- Multi-Faktor-Authentifizierung für alle Zugänge von außen. Die wirksamste Einzelmaßnahme gegen gestohlene Passwörter – und in Microsoft 365 bereits enthalten.
- Getestetes Backup mit einer Kopie außer Haus. Entscheidet darüber, ob ein Vorfall ein Ärgernis oder eine Existenzfrage wird.
- E-Mail-Sicherheit, weil dort die meisten Angriffe beginnen.
- Updates und Endpoint-Schutz, zentral verwaltet statt jedem Gerät überlassen.
- Awareness-Training. Technik fängt vieles ab, aber die letzte Entscheidung trifft ein Mensch.
- Dokumentation. Unbeliebt, aber ohne sie ist keine der Maßnahmen nachweisbar.
Unsere Einschätzung
Der häufigste Fehler ist nicht fehlende Technik, sondern fehlende Struktur: Maßnahmen existieren, aber niemand ist zuständig, nichts ist dokumentiert, und geprüft wurde seit der Einrichtung nichts mehr.
Genau dort setzen wir an. Unser Angebot NIS2 Security as a Service bündelt die technischen Maßnahmen und die zugehörige Dokumentation – damit Sie im Ernstfall nicht nur geschützt sind, sondern es auch belegen können.
Sie wollen wissen, wo Sie stehen? Wir führen mit Ihnen eine strukturierte Bestandsaufnahme durch – ohne Fachchinesisch. Kontakt aufnehmen.