NIS2 Checkliste für KMU 2026: Die 12 Schritte zur Konformität

Seit Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft. Rund 30.000 Unternehmen sind betroffen – viele davon, ohne es zu wissen. Wer unter NIS2 fällt, muss seine IT-Sicherheit nachweisbar organisieren, Vorfälle melden und persönliche Haftung der Geschäftsführung akzeptieren. Diese NIS2 Checkliste zeigt in zwölf konkreten Schritten, was Sie 2026 tun müssen – ohne Juristen-Sprech, ohne 200-seitige Beratungspapiere.

Bin ich überhaupt von NIS2 betroffen?

Die kurze Antwort: Wahrscheinlich ja, wenn Sie mindestens 50 Mitarbeiter oder 10 Mio. € Jahresumsatz haben und in einem der 18 als „wesentlich" oder „wichtig" eingestuften Sektoren tätig sind. Dazu zählen unter anderem Gesundheit, Energie, Transport, IT-Dienstleister, digitale Infrastruktur, Lebensmittelproduktion, Maschinenbau und chemische Industrie. Auch Zulieferer betroffener Unternehmen geraten faktisch unter NIS2-Druck, weil ihre Kunden Nachweise einfordern. Details prüfen Sie auf unserer NIS2-Übersicht.

Die NIS2 Checkliste: 12 Schritte zur Konformität

1. Betroffenheit feststellen und dokumentieren

Bestimmen Sie schriftlich, ob Ihr Unternehmen als „wesentliche" oder „wichtige" Einrichtung gilt. Dokumentieren Sie Sektor, Mitarbeiterzahl und Umsatz – diese Selbsteinschätzung ist die Grundlage aller weiteren Schritte und der erste Punkt, den ein Prüfer sehen will.

2. Geschäftsführung in die Pflicht nehmen

NIS2 macht die Geschäftsführung persönlich verantwortlich – inklusive Bußgeldern bis 10 Mio. € oder 2 % des Jahresumsatzes. Die Geschäftsleitung muss nachweislich an Schulungen zur Cybersicherheit teilnehmen. Halten Sie Termin, Inhalt und Teilnahme fest.

3. Risikoanalyse durchführen

Identifizieren Sie alle digitalen Assets (Server, Cloud-Dienste, Anwendungen, mobile Geräte) und bewerten Sie deren Risiken. Welche Systeme sind kritisch? Welche Daten besonders schutzbedürftig? Ergebnis: ein priorisiertes Risikoregister, das jährlich aktualisiert wird.

4. Sicherheitsmaßnahmen technisch umsetzen

NIS2 verlangt konkrete technische Maßnahmen: Zugriffsmanagement, Verschlüsselung, Multi-Faktor-Authentifizierung, Endpoint-Schutz (EDR/XDR), Netzwerksegmentierung und sichere Backups. Wenn Sie kein eigenes Security-Team haben, deckt ein Managed-Detection-&-Response-Service die meisten dieser Anforderungen in einem Paket ab.

5. Kontinuierliche Überwachung etablieren

Punktuelle Audits reichen nicht. NIS2 fordert eine fortlaufende Überwachung Ihrer IT-Systeme auf Anomalien. In der Praxis bedeutet das: ein 24/7-besetztes Security Operations Center (SOC) – entweder intern aufgebaut oder als SOC as a Service bezogen.

6. Incident-Response-Plan schriftlich festlegen

Wer macht was, wenn es brennt? Definieren Sie Rollen, Kommunikationswege, Eskalationspfade und Wiederherstellungsschritte. Üben Sie den Plan mindestens einmal pro Jahr in einer Tabletop-Übung. Ein ungetesteter Plan ist im Ernstfall ein Stück Papier.

7. Meldewege für Sicherheitsvorfälle einrichten

NIS2 schreibt vor: Erste Meldung an das BSI binnen 24 Stunden, ausführlicher Bericht binnen 72 Stunden, Abschlussbericht binnen einem Monat. Klären Sie heute, wer diese Meldungen verfasst und freigibt – nicht im Krisenmoment.

8. Lieferanten und Dienstleister prüfen

Ihre Verantwortung endet nicht an der Firewall. NIS2 fordert ein Lieferanten-Risikomanagement: Welche Dienstleister haben Zugriff auf kritische Systeme? Sind diese ihrerseits NIS2-konform? Lassen Sie sich Nachweise (z.B. ISO 27001, SOC 2, TISAX) liefern und dokumentieren Sie das.

9. Mitarbeiter regelmäßig schulen

Phishing bleibt der häufigste Angriffsvektor. Schulen Sie alle Mitarbeiter mindestens einmal jährlich zu Themen wie Passwort-Hygiene, Erkennung von Phishing-Mails und sicherem Umgang mit Cloud-Diensten. Dokumentieren Sie Teilnahme und Ergebnisse.

10. Backups testen, nicht nur erstellen

Backups, die im Ernstfall nicht wiederherstellbar sind, gibt es häufiger, als man denkt. NIS2 fordert getestete Backup- und Wiederherstellungskonzepte. Führen Sie mindestens quartalsweise einen Restore-Test durch und halten Sie das schriftlich fest.

11. Penetrationstests und Schwachstellenscans

Mindestens einmal jährlich sollte ein externer Penetrationstest nach BSI- oder OWASP-Standard durchgeführt werden. Ergänzend laufen monatliche automatisierte Schwachstellenscans, deren Ergebnisse priorisiert und behoben werden.

12. Nachweise audit-tauglich dokumentieren

Was nicht dokumentiert ist, existiert für Prüfer nicht. Halten Sie alle Maßnahmen, Tests, Schulungen und Vorfälle in einer revisionssicheren Form fest – idealerweise in einem Informationssicherheits-Managementsystem (ISMS). Ein externer Informationssicherheitsbeauftragter übernimmt diese Aufgabe häufig komplett.

NIS2-Bußgelder: Was passiert bei Verstößen?

Einrichtungstyp	Maximale Bußgelder	Persönliche Haftung
Wesentliche Einrichtungen	10 Mio. € oder 2 % Jahresumsatz	Geschäftsführung haftet persönlich
Wichtige Einrichtungen	7 Mio. € oder 1,4 % Jahresumsatz	Geschäftsführung haftet persönlich

Hinzu kommen Folgekosten aus Reputationsschaden, Kundenverlust und im Extremfall Tätigkeitsverboten für Geschäftsführer. NIS2-Konformität ist nicht „nice to have" – sie ist Risikomanagement im engsten Sinne.

Wie schnell schaffen KMU die NIS2-Konformität?

Erfahrungswerte: Ein KMU mit 30–80 Mitarbeitern und solider Basis-IT erreicht in 3–6 Monaten volle NIS2-Konformität, wenn die Umsetzung strukturiert geführt wird. Ohne externe Begleitung dauert es oft das Doppelte – nicht wegen technischer Komplexität, sondern wegen fehlender Priorisierung im Tagesgeschäft.

Fazit: NIS2 ist machbar – mit klarem Plan

NIS2 wirkt überwältigend, ist aber strukturiert abarbeitbar. Diese zwölf Schritte sind die Substanz – wer sie systematisch umsetzt und dokumentiert, ist gut aufgestellt. Wer keine eigene Sicherheitsabteilung hat, kombiniert sinnvoll einen Managed-Security-Service mit einem externen ISB – und löst die meisten Punkte in einem Aufwasch.

Weiterlesen: Externer ISB: Kosten, Aufgaben & Pflicht · SOC as a Service vs. eigenes SOC · NIS2-Leistungsseite

Nächste Schritte: persönliches Erstgespräch über /kontakt.