Wie gehen Sie als KMU die NIS2-Richtlinie an, ohne daraus ein Jahresprojekt zu machen?
Der kürzeste Weg ist nicht, einen großen Plan zu schreiben, sondern dort zu beginnen, wo bereits etwas vorhanden ist. Die meisten KMU-Unternehmen haben bereits eine Passwortrichtlinie, einen Sicherungsplan, eine Liste darüber, wer Zugriff auf welche Systeme hat, und einen Ansprechpartner für IT. Das ist keine vollständige Cybersicherheitsrichtlinie, aber es ist der Ausgangspunkt für eine Dokumentation: pro Maßnahme festhalten, wie der Stand ist, wer dafür verantwortlich ist und welcher Nachweis zeigt, dass es tatsächlich umgesetzt wird.
Eine Dokumentation auf diese Weise aufzubauen, ist kein Projekt von Monaten. Es ist eine Liste, die Sie heute öffnen und die wächst, während Sie arbeiten: die eine Maßnahme ist bereits vorhanden, die andere kommt diesen Monat hinzu. Es gibt keinen Punkt, an dem sie "fertig" ist, und das ist auch nicht beabsichtigt. Die Sorgfaltspflicht, die sich aus der NIS2-Richtlinie und den nationalen Gesetzen dazu ergibt, ist keine einmalige Übung, sondern eine laufende Praxis. Ein lebendes Register passt besser dazu als ein dickes Dokument, das nach der Fertigstellung in einer Mappe verschwindet.
Beginnen Sie mit dem, was bereits vorhanden ist, nicht mit einer leeren Seite
Viele Unternehmen denken, dass sie bei null anfangen, sobald das Wort NIS2 fällt. Das ist selten der Fall. Ein Installationsbetrieb hat normalerweise bereits Vereinbarungen darüber, wer Zugriff auf die Systeme von Kunden hat, eine Personalabteilung hat ein Verfahren zum Entzug des Zugriffs bei Ausscheiden aus dem Unternehmen, und fast jedes Unternehmen hat eine Form der Sicherung, auch wenn diese nicht auf Papier als "Sicherungsrichtlinie" festgehalten ist. Der erste Schritt ist also nicht zu schreiben, sondern zu inventarisieren: Was tun wir bereits, wo ist das dokumentiert, und wer kann das nachweisen.
Danach folgt erst die Frage, welche Teile noch fehlen. Das spart nicht nur Zeit, es verhindert auch, dass Sie doppelte Arbeit leisten oder Richtlinien für etwas festlegen, das in der Praxis bereits gut geregelt ist, nur noch nicht sichtbar gemacht. Wenn Sie zunächst wissen möchten, ob Ihr Unternehmen hier überhaupt darunter fällt oder über einen Kunden betroffen wird, können Sie das mit ein paar Fragen sehen, wo Sie ungefähr stehensehen, ohne dass Sie dafür etwas anschaffen müssen.
Eine Maßnahme, ein Status, ein Verantwortlicher, ein Nachweis
Der Kern einer praktikablen Dokumentation ist einfach: pro Maßnahme vier feste Felder. Der Status zeigt an, ob etwas geregelt ist, teilweise geregelt oder noch erledigt werden muss. Der Verantwortliche ist die Person, die dafür verantwortlich ist, nicht unbedingt der Geschäftsführer selbst. Der Nachweis ist das, was zeigt, dass die Maßnahme vorhanden ist: ein Schema, ein Export aus einem System, ein unterzeichnetes Dokument. Ohne diese vier Felder bleibt eine Dokumentation eine Sammlung guter Absichten; mit diesen Feldern wird sie etwas, mit dem Sie auch einen Sicherheitsfragebogen eines Kunden beantworten können, weil Sie nicht improvisieren müssen, sondern auf das zurückgreifen können, was bereits dokumentiert ist.
Diese Struktur funktioniert auch gut, weil Sie nicht alles auf einmal anpacken müssen. Sie können bei den Maßnahmen beginnen, für die Sie bereits das meiste haben, die schnell in Ordnung zu bringen sind, und den Rest schrittweise angehen. Eine Übersicht, welche Maßnahmen die Sorgfaltspflicht genau erwartet und was darunter fällt, finden Sie unter den ausgearbeiteten Themen pro Situation.
Warum dies schneller geht, als es sich anhört
Der Eindruck, dass NIS2 ein Jahresprojekt ist, entsteht oft, weil Menschen an ein komplettes Richtliniendokument denken, das auf einmal fertig sein muss. Ein lebendes Register funktioniert anders: es beginnt klein und unvollständig und wird bei jeder Veränderung in Ihrem Unternehmen automatisch aktualisiert, weil Sie ohnehin schon mit dieser Veränderung beschäftigt sind. Ein neuer Lieferant, ein anderes Zugriffssystem, ein neuer Mitarbeiter mit Administratorrechten — jeder Moment ist ein natürlicher Anknüpfungspunkt, um die Dokumentation zu aktualisieren, anstatt alles einmal pro Jahr neu zu machen.
Was die Dokumentation leistet und nicht leistet
Aus einer gepflegten Dokumentation folgen die Dokumente, die Sie benötigen: die Richtlinie selbst, die Antworten auf Fragelisten von Abnehmern und vorbereitete Texte für die Registrierung oder eine Meldung bei der zuständigen Behörde. Diese Meldung oder Registrierung müssen Sie selbst über das Portal Ihrer zuständigen Behörde einreichen; eine Dokumentation bereitet das vor, übernimmt das Einreichen aber nicht. Die Dokumentation ist auch kein Ersatz für ein Audit, einen Penetrationstest oder eine Zertifizierung — das bleibt Arbeit spezialisierter Dienste, genau wie die Reaktion auf Zwischenfälle, wenn tatsächlich etwas schiefgeht.
Wer genau wissen möchte, wie eine solche Dokumentation entsteht und welche Quellen dabei verwendet werden, liest das auf der Seite über woher die Informationen in der Plattform stammen. Für die Situation Ihrer eigenen Organisation mit den damit verbundenen rechtlichen Folgen bleibt ein Jurist oder die zuständige Behörde der richtige Ansprechpartner.
Wenn Sie sehen möchten, wo Ihre Organisation derzeit steht, führen Sie die kostenlose NIS2-Überprüfung durch oder blättern Sie durch die Themen, die am nächsten zu Ihrer Situation passen.