Kurzantwort: Die NIS-2-Umsetzung funktioniert im Mittelstand in drei 30-Tage-Phasen: Phase 1 (Tage 1–30) = Bestandsaufnahme und Risikoanalyse, Phase 2 (31–60) = technisch-organisatorische Maßnahmen plus Incident-Management, Phase 3 (61–90) = Dokumentation, Schulung, Audit-Readiness. Voraussetzungen: klare Projektleitung, Geschäftsleitung alle zwei Wochen eingebunden, Budget 15.000–40.000 Euro einmalig plus 2.000–8.000 Euro monatlich laufend. Wer bereits ISO 27001 hat, kommt mit 45–60 Tagen aus; wer von null startet, braucht realistisch 120–180 Tage.

Dieser Ratgeber zeigt den 90-Tage-Fahrplan mit konkreten Aufgaben pro Phase, den 7 häufigsten Fehlern und einer priorisierten Minimal-Variante, wenn das Budget knapp ist.

1. Phase 1 (Tag 1–30): Bestandsaufnahme und Risikoanalyse

Woche 1: Betroffenheit final festlegen

Auch wenn Sie grundsätzlich betroffen sind (siehe separater Ratgeber zur NIS-2-Betroffenheit): Scope festlegen. Welche Gesellschaften im Konzern? Welche Betriebsstätten? Welche IT-Systeme sind in scope, welche nicht? Schriftlich dokumentieren.

Woche 1–2: Asset-Inventar

Vollständige Liste aller IT-Assets — dort, wo Daten fließen:

  • Clients: PCs, Notebooks, Tablets (Anzahl, Modelle, Betriebssystem, Patch-Stand)
  • Server: physisch und virtuell, mit Rollen (Domain Controller, File, Mail, ERP, DB)
  • Netzwerk: Firewalls, Switches, Access Points, VPN-Gateways
  • Cloud-Dienste: Microsoft 365, Azure, Branchen-SaaS — pro Dienst Datenverarbeitungs-Umfang notieren
  • IoT/OT: SPS, Telematik-Gateways, Drucker, Zutritts-Systeme
  • Lieferkette: externe IT-Dienstleister, Cloud-Hoster, SaaS-Anbieter mit Zugriff auf Ihre Daten

Woche 2–3: Risiko-Analyse

Nach § 30 NIS2UmsuCG 10 Themenbereiche systematisch bewerten:

  1. Risikomanagement (Governance, wer entscheidet was?)
  2. Incident-Management (Erkennung, Reaktion, Meldung)
  3. Business Continuity und Desaster-Recovery
  4. Lieferkettensicherheit
  5. Schwachstellenmanagement
  6. Kryptographie
  7. Zugriffskontrolle
  8. Asset-Management
  9. Mitarbeiter-Sicherheit und Schulung
  10. Multi-Faktor-Authentifizierung und Netzwerk-Sicherheit

Pro Bereich: Ist-Zustand, Soll-Zustand, Lücke, Risiko-Level (hoch/mittel/niedrig).

Woche 4: Erste Freigabe durch die Geschäftsleitung

Ergebnis der Phase 1 als 10–15-seitigen Report der Geschäftsleitung vorlegen. Leitung unterschreibt formal das weitere Vorgehen. Wichtig: Ohne diese formale Freigabe läuft keine Uhr — die persönliche Haftung der Geschäftsleitung beginnt mit dem Wissen um die Risiken.

2. Phase 2 (Tag 31–60): Technisch-organisatorische Maßnahmen

Woche 5–6: Quick-Wins und Hochrisiko-Lücken schließen

Die drei kritischsten Bausteine zuerst:

  • MFA flächendeckend: Microsoft 365 Admin + alle Benutzer, VPN, Remote-Desktop, Admin-Konten von Firewall/Router. Microsoft Authenticator oder YubiKey.
  • EDR auf allen Endpunkten: Endpoint Detection & Response — nicht nur klassischer Virenschutz. Rollback-Funktion für Ransomware ist Pflicht.
  • Immutable Backup: Backup, das der Angreifer nicht löschen kann. Veeam Hardened Repository oder Object-Lock bei S3-kompatiblen Storages.

Woche 6–7: Incident-Response-Plan schreiben

Meldeweg-Definition:

  • Wer erkennt Vorfälle? (Monitoring, Helpdesk, EDR-Alerts)
  • Wer meldet intern an wen? (Eskalationskette, 24/7-Rufbereitschaft)
  • Wer entscheidet über BSI-Meldung? (Geschäftsleitung, Stellvertreter)
  • Wer kommuniziert nach außen? (Kunden, Presse, Behörden)

24-Stunden-Frist beim BSI: Das ist die kritische Zeit. Wenn in der Praxis der einzige Admin Urlaub hat und niemand meldet, werden Sie säumig. Vertretungsregelung schriftlich.

Woche 7–8: TOMs implementieren

Patch-Management, Zugriffskontrolle (rollenbasiert), Netzwerk-Segmentierung (Produktion trennen von Büro, Patienten-WLAN trennen von Praxisnetz etc.), Kryptographie (Festplatten-Verschlüsselung auf Notebooks, TLS für alles, verschlüsselte E-Mail für sensible Daten).

Woche 8: Lieferkette absichern

Vertragliche Anpassung mit allen IT-Dienstleistern, Cloud-Anbietern, SaaS-Partnern:

  • NIS-2-Compliance-Klausel (der Partner verpflichtet sich, Sicherheitsvorfälle innerhalb 24 h an Sie zu melden)
  • AVV-Prüfung (Art. 28 DSGVO)
  • Audit-Rechte

3. Phase 3 (Tag 61–90): Dokumentation, Schulung, Audit-Readiness

Woche 9–10: Nachweis-Mappe erstellen

Pro der 10 Themenbereiche aus Phase 1:

  • Policy-Dokument (die Regel)
  • Umsetzungs-Nachweis (Screenshot, Logfile, Richtlinie)
  • Verantwortlicher (Name, Rolle, Vertretung)
  • Letzte Prüfung und nächste Prüfung

Format: strukturierter Ordner (digital oder physisch), Inhaltsverzeichnis, Versions-Historie. Muss bei Audit oder Vorfall innerhalb 72 Stunden vorlegbar sein.

Woche 10–11: Schulungen

  • Geschäftsleitung: Pflicht-Schulung NIS-2 Grundlagen, 2–4 Stunden
  • IT-Verantwortliche: Incident-Response, 4–8 Stunden
  • Alle Mitarbeiter: Phishing-Awareness, MFA-Nutzung, Passwortsicherheit, 30–60 Minuten
  • Neueinstellungen: Onboarding-Paket mit Pflicht-Schulung

Teilnahme dokumentieren (Unterschrift oder digitales Abzeichen).

Woche 11: BSI-Registrierung vorbereiten

Sobald das deutsche NIS2UmsuCG in Kraft tritt, läuft die 3-Monats-Frist zur Registrierung. Angaben: Unternehmensdaten, Sektor, Kontaktperson (nicht Geschäftsleitung selbst, sondern eine benannte Kontaktperson), Beschreibung der kritischen Dienste.

Woche 12: Interner Probe-Audit

Simulation, wie ein BSI-Prüfer fragen würde:

  • „Zeigen Sie mir Ihren letzten Incident-Response-Plan-Test”
  • „Wer hat den letzten Penetration-Test durchgeführt, wann, mit welchem Ergebnis?”
  • „Welche Patch-Management-Policy haben Sie, und wie dokumentieren Sie Abweichungen?”

Lücken identifizieren, korrigieren, dann offizielle Freigabe der Geschäftsleitung.

4. Die 7 häufigsten Fehler beim NIS-2-Projekt

Aus unserer Erfahrung in Mittelstands-Projekten wiederkehrende Muster:

  1. Projekt ohne klare Geschäftsleitungs-Einbindung — wird zum reinen IT-Thema, scheitert an Governance-Anforderungen.
  2. Scope zu breit oder zu eng — entweder werden Teil-Betriebsstätten vergessen, oder alles wird einbezogen und das Projekt erstickt.
  3. Dokumentation als letzter Schritt statt laufend — alle Nachweise in den letzten 2 Wochen zu erstellen ist Zufalls-basiert und unvollständig.
  4. Kein Incident-Response-Test — der Plan existiert auf Papier, wurde aber nie durchgespielt. Im Ernstfall funktioniert er nicht.
  5. Lieferkette vergessen — externe IT-Dienstleister bleiben vertraglich un-reguliert, obwohl sie Vollzugriff haben.
  6. MFA nur für Admins — normale Benutzer-Accounts ohne MFA sind das häufigste Einfallstor, auch in NIS-2-konformen Organisationen.
  7. Kein Wiederholungsrhythmus — NIS-2 ist kein einmaliges Projekt, sondern ein jährlicher Zyklus mit Nachweisen, Schulung und Aktualisierung.

5. Budget knapp? Die 25/60-Regel

Wenn das volle 90-Tage-Projekt aktuell nicht finanzierbar ist: Priorisieren. Mit 25 % des Budgets erreichen Sie 60 % Compliance, wenn Sie auf drei Bausteine fokussieren:

  1. Incident-Response-Plan mit Meldeweg (billigster Hochwirkungs-Baustein — verhindert den Worst-Case bei einem Vorfall)
  2. MFA flächendeckend (technisch günstig, schützt gegen die häufigsten Angriffe)
  3. Immutable Backup (Ransomware-Schutz — Ransomware ist in 70 % der Vorfälle das Einfallstor)

Die restlichen 7 Bausteine in einer zweiten 90-Tage-Welle, dokumentiert als „Phase-2-Plan”. Im BSI-Gespräch zählt nachvollziehbarer Fortschritt deutlich mehr als perfekter Stillstand.

Tools und Downloads (empfohlene Ressourcen)

  • BSI IT-Grundschutz-Kompendium (kostenfrei) — Basis für alle TOMs, deutlich detaillierter als NIS-2 selbst
  • ENISA-Guidelines zur NIS-2-Umsetzung (EU-Agentur, kostenfrei, EN) — praxisnahe Hinweise
  • Vorlagen: Eine Incident-Response-Plan-Vorlage, ein Policy-Template-Set und eine Nachweis-Mappe-Struktur stellen wir NIS-2-Kunden zur Verfügung. Auf Anfrage: /leistungen/nis2-compliance.

Nächster Schritt

NIS-2 ist ein Projekt mit Enddatum und Nachweis-Pflicht. 90 Tage sind machbar — wenn Sie jetzt starten. Ab dem Zeitpunkt, an dem das NIS2UmsuCG in Deutschland in Kraft tritt, läuft die 3-Monats-Frist zur Registrierung. Wer dann erst beginnt, reißt die Fristen.

Wir begleiten seit mehreren Jahren Mittelständler am Niederrhein — in Viersen, Mönchengladbach, Krefeld und Düsseldorf — durch NIS-2-Projekte. Der Ablauf ist jedes Mal ähnlich, die Stolperfallen auch. Ein kostenfreies 45-Minuten-Gespräch reicht, um einzuschätzen, ob Sie mit 90, 120 oder 180 Tagen rechnen müssen: /leistungen/nis2-compliance.