Cybersicherheit im Mittelstand: Was NIS2 und ISO 27001 bedeuten

Teil 8 unserer Serie über den kompletten Aufbau eines datengetriebenen Unternehmens Teil 7 lesen

Beim zweiten Meeting mit dem neuen DSB (nennen wir ihn Kurt, ohne Helm und ohne Gurt) läuft alles gut. Die Liste mit elf Punkten aus dem ersten Gespräch wird abgearbeitet, der Praktikant informiert worden, dass er Punkt 3 auf der Liste mit Gefahren für den Datenschutz ist, und die Stimmung ist konstruktiv.

Während er schon sseine Sachen zusammenpackt, stellt Kurt noch beiläufig die, die die Anwesenden unsanft wieder auf den Boden der Tatsachen zurückholt: “Habt ihr euch eigentlich schon mit NIS2 beschäftigt?”

Stille. Längere Stille diesmal. “Was ist das?”

Kurt setzt sich wieder hin.

Was NIS2 ist

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der EU. In Deutschland wurde sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten ist. Rund 30.000 Unternehmen in Deutschland sind betroffen, eine Versechsfachung gegenüber dem bisherigen Stand.

Die Geschäftsführung haftet persönlich für die Einhaltung und die Behörden versüßen das Ganze noch einmal der Aussicht auf Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Was höher ist…

Die Richtlinie unterscheidet zwei Kategorien betroffener Unternehmen:

1. Besonders wichtige Einrichtungen aus Anlage 1 des BSI-Gesetzes umfassen Sektoren wie Energie, Transport, Bankwesen, Gesundheit, Trinkwasser und digitale Infrastruktur. Für diese gelten die strengsten Anforderungen und die höchsten Bußgelder. Die Schwelle liegt bei 250 Mitarbeitern oder 50 Millionen Euro Jahresumsatz.
2. Wichtige Einrichtungen aus Anlage 2 umfassen unter anderem Post und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter. Die Anforderungen sind etwas weniger streng, aber substanziell. Die Schwelle liegt bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz.

Ist Thalberg betroffen?

Ja. Und zwar eindeutig, kurze Anwort.

Getränkehersteller fallen explizit unter den Sektor “Produktion, Herstellung und Handel mit Lebensmitteln” in Anlage 2. Die Schwellenwerte sind wie bei allen NIS2-Sektoren: mindestens 50 Mitarbeiter oder mindestens 10 Millionen Euro Jahresumsatz (Betonung auf dem ODER). Thalberg hat 280 Mitarbeiter, die Frage ist wie eben erwähnt damit schnell geklärt.

Als wichtige Einrichtung nach Anlage 2 bedeutet das konkret: Registrierungspflicht beim BSI, Einführung eines Informationssicherheitsmanagementsystems, Meldepflicht bei Sicherheitsvorfällen, regelmäßige Risikoanalysen und Pflichten zur Absicherung der eigenen Lieferkette.

Eine unverbindliche Betroffenheitsprüfung lässt sich übrigens auf der Website des BSI durchführen.

Der Dominoeffekt: Wenn Kunden und Lieferanten fragen

Selbst Unternehmen die unterhalb der Schwellenwerte liegen und damit formal nicht direkt betroffen sind, können über die Lieferkette ins Spiel kommen. Das NIS2UmsuCG (wer auch immer sich diese Abkürzungen ausdenkt, hör bitte auf damit) verpflichtet betroffene Unternehmen dazu, die Sicherheit ihrer Lieferkette zu gewährleisten. In der Praxis bedeutet das: Wer Lieferant eines NIS2-pflichtigen Unternehmens ist, bekommt früher oder später einen Sicherheitsfragebogen, unabhängig davon, ob er selbst unter die Richtlinie fällt.

Thalberg erlebt beide Seiten dieser Medaille. Als wichtige Einrichtung muss Thalberg selbst NIS2-konform werden. Gleichzeitig schickt Thalbergs größter Einzelkunde, ein Lebensmitteleinzelhändler, der ebenfalls als wichtige Einrichtung nach Anlage 2 eingestuft ist, drei Wochen nach dem Meeting einen Sicherheitsfragebogen, wie es der Zufall in solchen Geschichten immer will. 47 Fragen zu Informationssicherheit, Zugriffsrechten, Verschlüsselung, Incident Response und Business Continuity.

Thalberg hat auf 31 davon keine befriedigende Antwort.

Was ISO 27001 und ein ISMS damit zu tun haben

Ein Informationssicherheitsmanagementsystem (ISMS) klingt sperriger als es ist. Gemeint ist ein systematischer Rahmen, der festlegt wie ein Unternehmen mit Sicherheitsrisiken umgeht: welche Daten und Systeme schützenswert sind, welche Bedrohungen existieren, welche Maßnahmen dagegen getroffen werden und wer dafür verantwortlich ist. Software-Tools wie verinice oder Athereon können dabei helfen, ein ISMS zu dokumentieren und zu betreiben, das ISMS selbst ist jedoch keine Software, sondern eine Kombination aus Richtlinien, Prozessen und technischen Maßnahmen, die dauerhaft gelebt werden müssen.

ISO 27001 ist der internationale Standard, der definiert wie ein solches ISMS aufgebaut und zertifiziert wird. Eine Zertifizierung ist keine gesetzliche Pflicht, wird aber zunehmend zur faktischen Anforderung, z. B. von Kunden, die wissen wollen, ob ihre Lieferanten sicher sind, von Partnern, die Audit-Rechte in Verträge schreiben oder von Cyberversicherungen, die ohne Zertifizierung entweder ablehnen oder nur sehr teure Policen anbieten.

Wer die 47 Fragen aus Thalbergs Kundenfragebogen sauber und wahrheitsgemäß beantworten will, braucht ein funktionierendes ISMS. Ob das am Ende nach ISO 27001 zertifiziert ist oder nicht, ist zunächst zweitrangig.

Der Zusammenhang mit NIS2: Ein ISO 27001-zertifiziertes ISMS hilft dabei, einen Großteil der NIS2-Anforderungen zu erfüllen. Die Richtlinie schreibt kein spezifisches Framework vor, aber ISO 27001 ist der anerkannte Weg, um nachzuweisen, dass man Informationssicherheit systematisch betreibt.

Umgekehrt gilt aber auch: ISO 27001 allein macht ein Unternehmen nicht automatisch NIS2-compliant. Die spezifischen Meldepflichten, die BSI-Registrierung und die Lieferkettenpflichten kommen on top.

Und wer darf das alles verantworten? Der Informationssicherheitsbeauftragte, kurz ISB. Nicht zu verwechseln mit dem Datenschutzbeauftragten (DSB), aka Kurt: Der DSB schaut auf personenbezogene Daten und DSGVO. Der ISB schaut auf die Sicherheit aller Informationen im Unternehmen wie Betriebsgeheimnisse, IT-Infrastruktur, Produktionsdaten, Kundendaten.

Was Thalberg nun konkret tun muss

Das wichtigste zuerst: Bloß kein überstürztes Zertifizierungsprojekt starten. Erfahrungsgemäß ist diese Art kopfloser Aktionismus der häufigste und teuerste Fehler. Stattdessen drei Schritte in dieser Reihenfolge.

1. Betroffenheit sauber klären: Ist Thalberg wichtige oder besonders wichtige Einrichtung (wie oben schon getan)? Was bedeutet das konkret für Registrierung, Meldepflichten und Aufsicht? Am besten zieht man dafür jemanden hinzu, der sich mit der Richtlinie auskennt (zwinker, zwinker)
2. Bestandsaufnahme durchführen: Was ist bereits vorhanden? Zugriffsrechte, Backup-Konzepte, Notfallpläne, Schulungen, vieles davon existiert in Unternehmen bereits, ist aber nirgendwo dokumentiert. Eine ehrliche Gap-Analyse zeigt wo man steht, bevor man anfängt Lücken zu schließen.
3. Prioritäten setzen und ISB benennen: Die kritischsten Lücken müssen zuerst angegangen werden, wo dort an wird sich systematisch weiter vorgearbeitet. Und natürlich muss jemanden benannt werden, der dauerhaft für das Thema zuständig ist. Ein ISMS ohne Verantwortlichen ist ein Ordner im Regal im Archiv.

Informationssicherheit ist kein IT-only Thema

Das größte Missverständnis bei NIS2 und ISO 27001: Es ist kein reines IT-Projekt. Informationssicherheit betrifft die gesamte Organisation: Prozesse, Menschen, Verträge, physische Sicherheit.

Gleichzeitig ist es kein Grund zur Panik. Die meisten Mittelständler haben bereits Strukturen, die als Ausgangspunkt taugen. Was fehlt, ist meistens nicht die Substanz, sondern die Dokumentation, die Systematik und die klare Verantwortung.

Was als nächstes kommt

Thalberg hat jetzt einen DSB, bald einen ISB, und ein NIS2-Projekt, das gerade anläuft. Aber wer ist dieser ISB eigentlich genau und was macht er den ganzen Tag? Die Rolle ist weniger bekannt als die des DSB, dabei ist sie für Unternehmen wie Thalberg mindestens genauso relevant. Nächste Woche schauen wir genauer hin.