Wer feststellt, dass NIS2 ihn betrifft — direkt oder über einen Kunden —, steht vor derselben Frage: Was muss ich konkret tun? Die Antwort liefert Artikel 21. Er zählt die geforderten Maßnahmen auf, überlässt die Umsetzung aber der Verhältnismäßigkeit: Ein kleiner Betrieb muss keinen Konzern-Sicherheitsapparat aufbauen, sondern die genannten Felder angemessen abdecken. Wir übersetzen die Paragrafen in Praxis.

Die Maßnahmenfelder — in eine Reihenfolge gebracht

Artikel 21 listet die Felder, nicht die Prioritäten. Aus der Praxis hat sich diese Reihenfolge bewährt, weil sie den größten Schutz pro Aufwand zuerst hebt:

• Zugänge absichern: Mehrfaktor-Anmeldung für E-Mail, Fernzugriff und Administratoren — der wirksamste einzelne Schritt gegen übernommene Konten.
• Datensicherung und Wiederanlauf: getrennte, regelmäßig getestete Backups plus ein Notfall- und Wiederanlaufplan (Business Continuity).
• Updates und Schwachstellen: ein geregeltes Patch-Vorgehen statt Zufall; bekannte Lücken zeitnah schließen.
• Vorfallbehandlung: festlegen, wie ein Sicherheitsvorfall erkannt, eingedämmt und gemeldet wird — inklusive Zuständigkeiten und der Meldefristen ans BSI.
• Zugriffskontrolle und Assets: wissen, welche Systeme und Daten es gibt, und wer worauf zugreifen darf (Rechte vergeben und wieder entziehen).
• Lieferkette: die Sicherheit von Dienstleistern und Zulieferern in die eigene Bewertung einbeziehen.
• Verschlüsselung und sichere Kommunikation: Daten unterwegs und im Ruhezustand schützen.
• Schulung und Cyberhygiene: Mitarbeiter regelmäßig für Phishing und den Umgang mit Daten sensibilisieren — dokumentiert.

Vieles davon lässt sich mit vorhandenen Bordmitteln umsetzen: Wer ohnehin Microsoft 365 nutzt, bekommt Mehrfaktor-Anmeldung, bedingten Zugriff und Schutzfunktionen ohne zusätzliche Werkzeugkäufe — die Kunst liegt im Einschalten und Konfigurieren, nicht im Beschaffen.

Verhältnismäßig heißt nicht beliebig

Die Verhältnismäßigkeit ist eine Erleichterung, kein Freibrief. Sie bedeutet: Ein Zehn-Personen-Betrieb braucht kein eigenes Security-Team, muss aber jedes Feld bewusst adressiert haben — und sei es mit der begründeten Entscheidung, dass ein Punkt bei ihm klein ausfällt. Was zählt, ist die nachvollziehbare Auseinandersetzung, nicht die Zahl der Seiten. Genau deshalb ist die Dokumentation kein Beiwerk, sondern der eigentliche Nachweis.

Wie Sie anfangen, ohne sich zu verzetteln

• Bestandsaufnahme: einmal alle Maßnahmenfelder durchgehen und den Ist-Stand notieren (das Selbst-Assessment oben).
• Priorisieren: die zwei, drei größten Lücken zuerst — meist Mehrfaktor-Anmeldung, getestete Backups und ein Notfallplan.
• Umsetzen mit Bordmitteln: prüfen, was die vorhandene Umgebung schon kann, bevor neue Werkzeuge gekauft werden.
• Dokumentieren: je Feld eine knappe Seite mit Stand und Datum — das ist der Nachweis.
• Wiederholen: nach einigen Monaten erneut messen und die nächste Lücke angehen.

So wird aus einer einschüchternden Paragrafenliste ein überschaubares Programm in Etappen. Der erste Durchlauf bringt den größten Sprung; danach ist es Pflege statt Projekt.