IT-Sicherheit.
Bevor der Ernstfall
den Betrieb stilllegt.

NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit, in Deutschland seit Oktober 2024 in nationaler Umsetzung. Direkt betroffen sind in der Regel Unternehmen ab 50 Mitarbeitern oder ab 10 Millionen Euro Jahresumsatz, sofern sie in einem der 18 regulierten Sektoren tätig sind — u.a. Energie, Gesundheit, digitale Dienste, verarbeitendes Gewerbe, Lebensmittel, Logistik. Kleinere Unternehmen sind oft indirekt betroffen, weil NIS2-pflichtige Kunden Sicherheits-Nachweise von ihren Zulieferern verlangen.

Ein realistischer Einstieg liegt bei einer einmaligen Bestandsaufnahme ab 299 Euro netto (Einsteiger-Check, bis 200 Arbeitsplätze). Die laufenden Kosten für EDR, MFA, Backup und Patch-Management hängen von Geräteanzahl, Standorten und Datenvolumen ab; für ein KMU mit 20 bis 50 Arbeitsplätzen liegen sie typischerweise im niedrigen bis mittleren vierstelligen Bereich pro Monat. Im ersten Gespräch erhalten Sie eine konkrete Größenordnung — ohne Verkaufsdruck.

Ohne aktives Monitoring werden Angriffe nach Branchen-Auswertungen oft erst nach Wochen oder Monaten entdeckt — häufig erst, wenn die Verschlüsselung läuft oder Daten im Darknet auftauchen. Mit Endpoint Detection & Response und ausgewerteten M365-Login-Logs lassen sich verdächtige Muster in der Regel deutlich früher erkennen. Eine Garantie, jeden Angriff in Echtzeit zu sehen, gibt es nicht — wohl aber eine substanzielle Verkürzung der Verweildauer.

Aufsichtsbehörden können Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängen und im Extremfall die Leitungstätigkeit vorübergehend untersagen. Zusätzlich kann der Schutz aus einer Cyber-Versicherung im Schadensfall entfallen, wenn im Versicherungsantrag angegebene Maßnahmen nachweislich nicht umgesetzt waren. Geschäftsführer haften nach NIS2 persönlich für die Einrichtung des Risikomanagements.

Für ein KMU mit 10 bis 50 Mitarbeitern und bestehender Microsoft-365-Umgebung kalkulieren wir typischerweise 4 bis 8 Wochen für die technischen Grundmaßnahmen — MFA, EDR-Rollout, Backup-Konzept mit Restore-Test, Patch-Management, erste Netzwerksegmentierung. Die Sicherheits-Dokumentation und Mitarbeiter-Sensibilisierung sind danach laufende Prozesse, kein einmaliges Projekt.

Signaturbasierter Virenschutz erkennt nur, was bereits als Schadcode bekannt ist. Aktuelle Angriffe nutzen polymorphe Malware, dateilose Techniken und Zero-Day-Exploits, die ein klassischer Scanner in der Regel nicht erfasst. Endpoint Detection & Response (EDR) analysiert stattdessen Verhalten und kann auch unbekannte Muster auffällig machen. Für NIS2-Anforderungen und die meisten Cyber-Versicherungs-Anträge gilt klassischer Antivirus nach aktuellem Stand der Technik nicht mehr als ausreichend.

Drei Datenkopien (Original plus zwei Sicherungen), auf zwei verschiedenen Medientypen, davon eine außer Haus. Ergänzt um Immutable Storage — also unveränderlich abgelegte Sicherungen — bleiben Backups auch bei einem Ransomware-Angriff in der Regel intakt. Ein Backup ohne dokumentierten Restore-Test ist im Ernstfall jedoch keine belastbare Größe; deshalb gehört der Wiederherstellungs-Test fest in das Konzept.

net-kom übernimmt auf Wunsch auch nur die Sicherheits-Spezialthemen: NIS2-Bestandsaufnahme, Maßnahmen-Roadmap, Selbstauskunft für die Cyber-Versicherung, Audit der vorhandenen Backup- und Patch-Prozesse. Wenn Ihr bisheriger Dienstleister diese Themen bisher nicht abdeckt, füllen wir die Lücke — ohne ihn zu ersetzen.