NIS2 ohne Berater umsetzen: Anleitung für KMU

NIS2-Compliance lässt sich in vielen KMU eigenständig umsetzen. Rund 80 % der Pflichten nach §30 BSIG sind mit einem strukturierten Leitfaden wie NIS2Compass ohne externen Berater machbar. In Deutschland sind laut Regierungsentwurf zum NIS2UmsuCG über 29.000 Unternehmen betroffen. Ein Berater ist sinnvoll, aber selten zwingend. Der Vor-Check zeigt Ihren Ausgangspunkt.

Kann ein KMU NIS2 ohne Berater umsetzen?

Ja, ein KMU kann NIS2 in den meisten Fällen ohne externen Berater umsetzen. Die rechtlichen Anforderungen sind öffentlich dokumentiert, und §30 BSIG zählt zehn konkrete Mindestmaßnahmen auf. Voraussetzung ist ein strukturierter Umsetzungspfad und ein IT-Team mit ausreichend Kapazität.

Was ein Berater liefert, ist kein exklusives Geheimwissen. Fachwissen, Struktur und Vorlagen stützen sich auf öffentlich zugängliche Quellen: den Gesetzestext zu §30 BSIG, die Veröffentlichungen des BSI zu NIS2-regulierten Unternehmen und etablierte Standards wie ISO 27001 oder den BSI IT-Grundschutz. Diese Inhalte stehen jedem Unternehmen offen.

Der Handlungsdruck ist real. Der Regierungsentwurf zum NIS2UmsuCG stellt fest, dass rund 83 Prozent der etwa 30.000 betroffenen Einrichtungen erheblichen Nachholbedarf bei der Cybersicherheit haben. Eigenständige Umsetzung ist für viele Unternehmen also nicht nur möglich, sondern der realistischste Weg, diesen Rückstand zügig aufzuholen.

Die eigentliche Frage ist also nicht, ob die Inhalte verfügbar sind. Sie lautet: Hat Ihr internes IT-Team die Kapazität und einen klar strukturierten Pfad, um die zehn Mindestmaßnahmen sauber abzuarbeiten? Genau hier setzt NIS2Compass an, mit kuratierten Fachartikeln, fertigen Vorlagen und einem Schritt-für-Schritt-Leitfaden.

Bevor Sie mit der Umsetzung starten, sollten Sie klären, ob Ihr Unternehmen überhaupt betroffen ist. Der Vor-Check von NIS2Compass zeigt in wenigen Minuten, wo Ihr Unternehmen steht und welche der zehn Mindestmaßnahmen bereits abgedeckt sind.

Welche 5 Phasen umfasst die NIS2-Umsetzung in Eigenregie?

Die Eigenumsetzung folgt fünf Phasen von der Betroffenheitsprüfung bis zur BSI-Registrierung. Jede Phase ist mit klaren Anleitungen ohne Berater machbar. Sie bauen logisch aufeinander auf und führen Schritt für Schritt zur Compliance.

1. Betroffenheit klären. Zunächst prüfen Sie Ihre Sektorzugehörigkeit und die Schwellenwerte: 50 Mitarbeiter oder 10 Mio. Euro Umsatz. Daraus ergibt sich, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung eingestuft wird. Ergebnis ist eine dokumentierte Einrichtungsklasse.
2. Risikoanalyse und Asset-Inventar. Sie erfassen alle relevanten IT-Assets und bewerten die zugehörigen Bedrohungen. Die Grundlage liefert §30 Abs. 2 BSIG Nr. 1. Ergebnis dieser Phase ist ein vollständiges Risikoregister mit priorisierten Risiken.
3. Technische und organisatorische Maßnahmen umsetzen. Hier setzen Sie die 10 Mindestmaßnahmen nach §30 Abs. 2 BSIG um. Dazu zählen Risikomanagement, Incident Handling, BCM und Backup, Lieferkettensicherheit, Zugriffskontrolle mit MFA, Verschlüsselung sowie Schulungen. Diese Phase ist der inhaltliche Kern der NIS2-Umsetzung.
4. Dokumentation und Nachweise. Sie erstellen die nötigen Richtlinien, Prozesse und Nachweise zu jeder Maßnahme. Wichtig: Die Geschäftsleitung muss die Maßnahmen aktiv billigen und überwachen (§38 BSIG). Ergebnis ist ein prüffähiges Dokumentationspaket.
5. BSI-Registrierung und Meldeprozess. Die Registrierung beim BSI ist nach §33 BSIG verpflichtend und bleibt es auch nach Ablauf der Frist am 6. März 2026. Parallel bauen Sie den dreistufigen Meldeprozess nach §32 BSIG auf: Erstmeldung binnen 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussbericht nach einem Monat.

Diese Reihenfolge ist bewusst gewählt: Ohne geklärte Betroffenheit kein passendes Risikoregister, ohne Risikoregister keine zielgerichteten Maßnahmen. NIS2Compass bildet genau diese fünf Phasen als strukturierten Umsetzungspfad ab und führt Sie mit fertigen Vorlagen durch jeden Schritt. Wie sich das im Detail anfühlt, zeigt der Leitfaden Schritt für Schritt zur NIS2-Compliance.

Welche NIS2-Pflichten schaffen Sie selbst, und mit welchem Werkzeug?

Den Großteil der Maßnahmen aus §30 BSIG schaffen KMU eigenständig, wenn ein Leitfaden Anforderung, Schritt und Vorlage zusammenführt. NIS2Compass bildet die 10 Mindestmaßnahmen in 8 Kapiteln ab. So wird aus einer Gesetzespflicht eine abarbeitbare Liste.

Was Sie mit Anleitung und Vorlagen selbst erledigen:

• Informationssicherheitsrichtlinie & Risikomanagement (§30 Abs. 2 Nr. 1): Sie definieren Geltungsbereich, Verantwortlichkeiten und einen methodischen Risikoprozess.
• Asset-Inventar & Risikoregister: Sie erfassen Ihre kritischen Systeme und bewerten Risiken strukturiert nach Eintrittswahrscheinlichkeit und Schaden.
• Zugriffskontrolle, MFA & Berechtigungskonzepte (Nr. 9/10): Sie regeln Least-Privilege, führen Mehr-Faktor-Authentisierung ein und dokumentieren Berechtigungen.
• Backup-, Notfall- & Business-Continuity-Konzept (Nr. 4): Sie legen RTO/RPO fest und beschreiben Wiederanlauf und Krisenkommunikation.
• Incident-Response- und Meldeprozess (Nr. 2): Sie etablieren Erkennung, Eskalation und die fristgerechte Meldung an das BSI.
• Awareness-Schulungen & Cyberhygiene (Nr. 7): Sie schulen Mitarbeitende wiederkehrend und dokumentieren die Teilnahme nachweisbar.
• Lieferanten-Sicherheit / Sicherheit der Lieferkette (Nr. 6): Sie klassifizieren Lieferanten und verankern Sicherheitsanforderungen vertraglich.
• Dokumentation & Nachweisführung: Sie führen alle Artefakte versioniert, damit Sie gegenüber der Geschäftsleitung und dem BSI prüffähig sind.

Das ist keine Magie, sondern organisatorische Sorgfalt plus die richtigen Vorlagen. Erfahrungsgemäß arbeiten KMU mit einem klaren Umsetzungspfad rund 80 Prozent der Anforderungen eigenständig ab. Externe Unterstützung bleibt nur für wenige Spezialthemen sinnvoll.

Drei Bausteine machen diese Eigenleistung möglich. Der NIS2 Guide führt Sie mit 8 Kapiteln und rund 124 Schritten durch den gesamten Aufbau. Der Knowledge Hub liefert mit über 40 Fachartikeln das nötige NIS2-Wissen verständlich aufbereitet. Die Template Library stellt über 45 Word- und Excel-Vorlagen bereit, jede einem konkreten Umsetzungsschritt zugeordnet.

Wie viel Zeit und welche Ressourcen kostet die Eigenumsetzung?

Realistisch sind 3 bis 6 Monate in IT-Teilzeit, je nach Ausgangslage. Der Aufwand liegt bei rund 400 bis 800 internen Personenstunden im ersten Jahr. Diese verteilen sich auf das IT-Team und die Geschäftsleitung.

Wer ist beteiligt? Der IT-Leiter steuert den Prozess operativ. Eine Person übernimmt die Funktion des Informationssicherheitsbeauftragten (ISB), das kann intern besetzt werden. Die Geschäftsleitung billigt die Maßnahmen und überwacht ihre Umsetzung.

Wichtig dabei: Die Schulungs- und Überwachungspflicht der Geschäftsleitung nach §38 BSIG ist nicht delegierbar. Welche Konsequenzen das hat, erläutert der Beitrag zur persönlichen Haftung der Geschäftsleitung nach §38 BSIG.

Was verkürzt den Zeitraum? Vorhandene Strukturen aus ISO 27001 oder BSI IT-Grundschutz sparen erheblich Zeit. Ebenso ein klarer Umsetzungspfad mit sinnvoller Priorisierung, der die Schritte in eine machbare Reihenfolge bringt, wie ihn der Umsetzungspfad in 8 Kapiteln beschreibt.

Eine bestehende Zertifizierung deckt jedoch nicht alles ab. Registrierung, Meldepflicht und die Haftung der Geschäftsleitung bleiben NIS2-spezifisch und müssen separat umgesetzt werden.

Grobe Aufwandsverteilung im ersten Jahr:

• Bestandsaufnahme & Risikoanalyse: ca. 20–25 % des Aufwands. Hierzu zählen Asset-Inventar, Schutzbedarfsfeststellung und die erste Risikoanalyse.
• Maßnahmen & technische Umsetzung: ca. 40 %. Der größte Block, denn hier werden konkrete technische und organisatorische Maßnahmen umgesetzt.
• Dokumentation & Nachweise: ca. 20 %. Richtlinien, Konzepte und Nachweise für die Geschäftsleitung und mögliche Prüfungen.
• Registrierung, Meldeprozess & Schulungen: ca. 15–20 %. BSI-Registrierung, Aufbau des Meldeprozesses und Schulung der Mitarbeitenden.

Der Aufwand wirkt zunächst hoch. Verteilt auf mehrere Monate und Beteiligte bleibt er für ein IT-Team von 3 bis 10 Personen gut leistbar.

Wo bleibt ein NIS2-Berater trotzdem sinnvoll?

Eigenregie hat klare Grenzen. Bei KRITIS-Einstufung, unklarer Betroffenheit, komplexen Lieferketten oder rechtlichen Haftungsfragen lohnt sich gezielte externe Expertise. Der effizienteste Weg für KMU ist meist ein Hybridansatz aus strukturierter Eigenleistung und punktueller Beratung.

NIS2Compass empfiehlt sich bewusst nicht für jede Konstellation. In den folgenden Fällen bleibt externe Expertise unverzichtbar:

• Unklare Betroffenheit / Sektor-Sonderfälle: Ein Rechtsanwalt mit NIS2-Spezialisierung schafft Klarheit, wenn die Einordnung Ihres Unternehmens nicht eindeutig ist.
• KRITIS-Einstufung: Betreiber kritischer Anlagen haben zusätzliche Pflichten, die über §30 BSIG hinausgehen.
• Komplexe internationale Lieferketten: Hier braucht es individuelle Risikoanalysen statt Standardvorlagen.
• Penetrationstests & technische Audits: Diese erfordern zertifizierte Spezialisten, und kein Leitfaden ersetzt das.
• Rechtliche Grenzfälle der Geschäftsleitungshaftung: Bei §38-Haftungsfragen gehört ein Fachanwalt hinzugezogen.

Warum der Hybridansatz? Die Basisarbeit erledigen Sie strukturiert selbst, während Sie 3 bis 5 Beratertage gezielt für die Spezialfragen einsetzen. NIS2Compass deckt rund 80 Prozent der typischen Beratungsleistung ab: Struktur, Fachwissen, Vorlagen und einen klaren Umsetzungspfad. Das gesparte Budget fließt dann genau dorthin, wo Spezialwissen wirklich nötig ist.

So entsteht ein realistisches Bild der Kosten. Wer wissen will, wie sich Eigenleistung und externe Hilfe finanziell verhalten, findet einen detaillierten Kostenvergleich und eine Aufschlüsselung, was externe NIS2-Beratung wirklich kostet.

„Für die meisten KMU ist nicht die Frage, ob sie einen Berater brauchen, sondern wofür. Wer die Basisarbeit strukturiert selbst erledigt, setzt das gesparte Budget gezielt für die Spezialfragen ein, die ein Leitfaden nicht abdecken kann." — NIS2Compass Experten

Praxisszenario: Ein Maschinenbauer setzt NIS2 in 4 Monaten selbst um

Ein Maschinenbauunternehmen mit 120 Mitarbeitern aus NRW fällt als Teil des verarbeitenden Gewerbes unter NIS2. Die IT-Abteilung besteht aus fünf Personen, ohne dedizierten ISB und ohne ISO-27001-Zertifizierung. Statt eines Beratungsangebots über 85.000 Euro entscheidet sich das IT-Team für die strukturierte Eigenumsetzung.

Der 4-Monats-Pfad:

1. Monat 1 (Betroffenheit & Bestandsaufnahme): Das Team durchläuft den Vor-Check, bestimmt die Einrichtungsklasse und startet das Asset-Inventar.
2. Monat 2 (Risikoanalyse & Richtlinien): Risikoregister, Informationssicherheitsrichtlinie und Zugriffskonzept entstehen aus fertigen Vorlagen.
3. Monat 3 (Technische Maßnahmen): MFA-Rollout, Backup-Konzept und Netzwerksegmentierung werden umgesetzt; der externe Penetrationstest wird gezielt eingekauft.
4. Monat 4 (Dokumentation, Registrierung & Schulung): BSI-Registrierung (§33), Meldeprozess (§32) und dokumentierte Billigung der Geschäftsleitung (§38) folgen, ergänzt durch eine Awareness-Schulung.

Das Ergebnis: Die NIS2-Grundlagen sind in vier Monaten umgesetzt, externe Hilfe war nur punktuell für den Penetrationstest nötig. Der NIS2 Guide von NIS2Compass gibt genau diesen Pfad vor.

Häufig gestellte Fragen zur NIS2-Umsetzung ohne Berater

Kann ein IT-Leiter NIS2 alleine umsetzen?

Ja, mit einem strukturierten Leitfaden und der Rückendeckung der Geschäftsleitung ist das realistisch. Die Leitung kann operative Aufgaben delegieren. Die Pflichten nach §38 BSIG bleiben jedoch bei der Geschäftsleitung selbst, inklusive Billigung und Überwachung der Maßnahmen.

Was passiert, wenn mir bei der Umsetzung ein Fehler unterläuft?

NIS2 verlangt angemessene, dokumentierte Maßnahmen, keine Perfektion. Entscheidend sind eine nachvollziehbare Dokumentation und kontinuierliche Verbesserung. Ein strukturierter Leitfaden reduziert das Risiko grober Lücken erheblich, weil er die zentralen Pflichten systematisch abarbeitet.

Brauche ich einen externen ISB für NIS2?

Nein, die ISB-Funktion lässt sich intern besetzen. Externe ISB verursachen je nach Modell laufende Kosten. Für viele KMU genügt eine benannte interne Person mit klarer Verantwortung und ausreichend Zeitbudget, sofern die Geschäftsleitung diese Rolle formal verankert.

Wie lange dauert die NIS2-Umsetzung ohne Berater?

Realistisch sind 3 bis 6 Monate in IT-Teilzeit. Der genaue Zeitraum hängt vom Reifegrad der bestehenden Sicherheitsstrukturen ab. Vorhandene ISO-27001- oder BSI-IT-Grundschutz-Strukturen verkürzen die Umsetzung deutlich, da viele Maßnahmen bereits dokumentiert vorliegen.

Welche NIS2-Aufgaben sollte ich auf keinen Fall selbst machen?

Penetrationstests, rechtliche Bewertungen zur Sektorzugehörigkeit und komplexe Lieferkettenanalysen erfordern Spezialwissen. Diese Aufgaben kaufen Sie besser gezielt extern ein. Alles Übrige lässt sich strukturiert in Eigenregie bewältigen, etwa Richtlinien, Asset-Inventar und der Meldeprozess.