NIS2 Art. 21 — die 10 Mindestmaßnahmen, die jeder Mittelstand kennen muss

Artikel 21 der NIS-2-Richtlinie (EU 2022/2555) verpflichtet wesentliche und wichtige Einrichtungen zu technischen, operativen und organisatorischen Maßnahmen, um Cyberrisiken zu beherrschen. Die Richtlinie selbst nennt zehn Kategorien von Mindestmaßnahmen, die je nach Größe, Sektor und Risikolage des Unternehmens angemessen umzusetzen sind. Die folgende Übersicht zitiert diese zehn Kategorien wörtlich aus dem Amtsblatt und ordnet jeder Maßnahme die typischen Lücken zu, die wir in Audits bei mittelständischen Produktions- und OT-Umgebungen beobachten. Sie ersetzt keine juristische Einzelfallprüfung.

Die Maßnahmen gelten für alle wesentlichen und wichtigen Einrichtungen im Sinne der NIS-2-Umsetzung (NIS2UmsuCG, Stand 2026). Maßgeblich sind Sektor laut Anhang I oder II sowie die Schwellenwerte für mittlere und große Unternehmen.

Aufsichtsbehörden prüfen weniger die Existenz einzelner Werkzeuge als die Kohärenz des Risikomanagements: ob die Maßnahmen dokumentiert, wirksam und in der Organisation verankert sind.

Diese Übersicht dient der technischen Orientierung. Sie ist keine Rechtsberatung im Sinne des RDG und ersetzt weder ein Audit noch eine juristische Einzelfallprüfung.

1. Risikoanalyse und Sicherheit der Informationssysteme

Verbindliche, regelmäßig aktualisierte Methodik zur Bewertung von Risiken für die eigenen Netz- und Informationssysteme. Bewährt sind BSI IT-Grundschutz und ISO 27005 als strukturierte Verfahren. Die Maßgabe der Richtlinie ist nicht das konkrete Werkzeug, sondern dass überhaupt ein dokumentiertes, nachvollziehbares Vorgehen existiert. Typische Lücke: Risikoanalysen werden einmal erstellt, danach nicht mehr fortgeschrieben, oder sie existieren nur als PowerPoint ohne Eigentümer und Termin.

2. Bewältigung von Sicherheitsvorfällen

Vorfallerkennung, -eindämmung, -analyse und -nachsorge als durchgängiger Prozess. Art. 23 der NIS-2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen, erhebliche Vorfälle innerhalb von 24 Stunden als Frühwarnung an die zuständige Behörde (in Deutschland das BSI) zu melden. Typische Lücke: kein definiertes Incident-Response-Team, keine Eskalationspfade, keine Eskalation in die Geschäftsleitung, kein Meldeprozess an die Aufsicht.

3. Aufrechterhaltung des Betriebs (Business Continuity)

Backup-Management, Disaster Recovery und Krisenmanagement als verzahntes Ganzes. Die Maßnahme verlangt definierte RTO- und RPO-Werte, regelmäßig getestete Wiederherstellung und einen Notfallplan, der auch dann greift, wenn Cloud- oder Lieferanten-Komponenten ausfallen. Typische Lücke: Backups existieren, wurden aber nie in einer realen Wiederherstellung geprüft; der Notfallplan ist drei Jahre alt und niemand kennt seinen Standort.

4. Sicherheit der Lieferkette

Bewertung der Cybersecurity-Praktiken jedes direkten Lieferanten und Dienstleisters, einschließlich seiner sicheren Software-Entwicklung. NIS-2 Art. 21(3) verlangt ausdrücklich, die spezifischen Schwachstellen jedes Anbieters und die Gesamtqualität seiner Produkte und Praktiken zu berücksichtigen. Auch Ergebnisse koordinierter EU-Lieferketten-Bewertungen nach Art. 22 sind zu beachten. Typische Lücke: SaaS-Lieferanten werden vertraglich verpflichtet, aber nie auditiert; ein zentrales Lieferanten-Register fehlt.

5. Sicherheit bei Erwerb, Entwicklung und Wartung von IKT

Schutzmaßnahmen über den gesamten Lebenszyklus von IKT-Systemen, inklusive Schwachstellen-Handling und verantwortlicher Offenlegung. Für Eigenentwicklung gehören Secure Development Lifecycle, Code-Reviews, statische und dynamische Analyse (SAST/DAST) sowie Dependency-Management dazu. Typische Lücke: kein formaler SDLC, keine Pflicht-Reviews, Open-Source-Abhängigkeiten werden nicht auf CVE-Stand geprüft, kein Coordinated-Vulnerability-Disclosure-Prozess.

6. Wirksamkeitsbewertung der Risikomanagement-Maßnahmen

Regelmäßige, dokumentierte Überprüfung, ob die eingeführten Maßnahmen tatsächlich wirken. NIS-2 verlangt keine spezifische Frequenz, aber die Aufsichtsbehörden erwarten einen nachvollziehbaren Prüfzyklus. Bewährt haben sich unabhängige Penetrationstests mindestens jährlich, kombiniert mit internen Wirksamkeits-Audits. Typische Lücke: keine unabhängige Prüfung; Selbst-Audits ohne Außenwirkung; dieselben Tests in identischem Scope Jahr für Jahr.

7. Cyberhygiene und Schulungen

Grundlegende Sicherheits-Praktiken für alle Beschäftigten sowie Schulungen, die Cybersecurity-Risiken adressieren. Art. 20 der NIS-2-Richtlinie verpflichtet darüber hinaus die Mitglieder der Geschäftsleitungen wesentlicher und wichtiger Einrichtungen zu speziellen Schulungen. Typische Lücke: einmalige Pflichtschulung bei Einstellung, keine Phishing-Simulationen, kein Messen von Klickraten, kein Auffrischungs-Format.

8. Kryptografie und Verschlüsselung

Politik und Verfahren zum Einsatz kryptographischer Mittel, einschließlich Verschlüsselung dort, wo angemessen. Mindeststandard: TLS für jede externe und interne Kommunikation, Festplatten- und Datenbank-Verschlüsselung für ruhende Daten, dokumentiertes Schlüssel-Management mit HSM- oder KMS-Anbindung. Typische Lücke: TLS nur extern erzwungen, intern Klartext; Schlüssel liegen in Code-Repositories; kein Rotations-Konzept.

9. Personalsicherheit, Zugriffskontrolle und Asset-Management

Drei zusammenhängende Pflichten aus Art. 21(2)(i): Personalsicherheit (Hintergrund-Checks, Funktionstrennung, Prozesse bei Ein- und Austritt), Zugriffskontroll-Politik (Least Privilege, Just-in-Time) und Asset-Management (vollständiges Inventar aller informationsverarbeitenden Assets, inklusive OT-Komponenten). Typische Lücke: MFA nicht flächendeckend durchgesetzt; kein Joiner-Mover-Leaver-Prozess; OT-Inventar nur in Köpfen der Instandhaltung.

10. Sichere Kommunikation

Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizung, abgesicherte Sprach-, Video- und Textkommunikation sowie abgesicherte Notfall-Kommunikationssysteme innerhalb der Einrichtung, soweit angemessen. Auch externe Kommunikation mit KRITIS-Betreibern und Behörden sollte Ende-zu-Ende-verschlüsselt erfolgen. Typische Lücke: MFA nur auf dem Verwaltungs-VPN, nicht auf der OT-Zugriffsebene; geschäftskritische Chats laufen über nicht freigegebene Messenger ohne Policy.

Häufige Fragen zu Art. 21.

Muss ich alle 10 Maßnahmen umsetzen?

Art. 21 verlangt, dass jede der zehn Kategorien angemessen und verhältnismäßig adressiert wird. Konkret bedeutet das: Du brauchst in jeder Kategorie ein dokumentiertes Vorgehen, das zu deiner Größe, deinem Sektor und deinem Risikoprofil passt. Eine kleine Kategorie-Checkliste ohne inhaltliche Substanz reicht nicht; eine mit Augenmaß umgesetzte, dokumentierte Mischung reicht sehr wohl. Im Zweifelsfall hilft eine belastbare Risikoanalyse, um die Prioritäten zu setzen.

Gilt das auch für kleine Unternehmen?

Direkt verpflichtet sind wesentliche und wichtige Einrichtungen, also nach NIS2UmsuCG-Stand 2026 mittlere und große Unternehmen in den Sektoren der Anhänge I und II. Mittelständische Produktions- und OT-Unternehmen liegen häufig im Geltungsbereich. Reine Kleinstunternehmen unter 50 Mitarbeitenden und 10 Mio. Euro Umsatz sind in der Regel nicht direkt pflichtig, können aber mittelbar als Lieferant betroffen sein und müssen dann vertraglichen Anforderungen ihrer Kunden genügen.

Wie weise ich die Umsetzung gegenüber der Aufsicht nach?

Nicht durch einzelne Werkzeuge, sondern durch kohärente Dokumentation: Richtlinien, die gelebt werden; Risikoanalysen mit Datum und Eigentümer; Test- und Audit-Berichte; Nachweise über Schulungen und Übungen; Vorfalls-Dokumentation inklusive Lessons Learned. Wir erleben in Audits, dass weniger die Existenz als die Konsistenz entscheidet: Dieselbe Liste an Maßnahmen, die in einer Spalte vorhanden und in der anderen verwaist ist, fällt durch. Eine konsolidierte Risikomanagement-Sicht, in der jede Maßnahme einem Eigentümer und einem Prüfzyklus zugeordnet ist, schlägt jede punktuelle Investition.

30-Min-Erstgespräch vereinbaren

Erst selbst prüfen: NIS2-Self-Check

Verwandte Seiten

→ /nis2 (Hauptseite)→ /backend-security → /embedded-security → /nis2-check (Self-Check)

Die zehn Kategorien folgen wörtlich Art. 21 Abs. 2 der NIS-2-Richtlinie (EU 2022/2555). Die inhaltliche Einordnung beruht auf Erfahrungen aus NIS2-Readiness-Audits bei mittelständischen Produktions- und OT-Unternehmen, Stand 2026. Konkretisierung der Anforderungen für einzelne Sektoren können sich aus den Durchführungsrechtsakten der Kommission (insbesondere der Durchführungsverordnung (EU) 2024/2690) und aus dem nationalen NIS2UmsuCG ergeben. Für die rechtliche Bewertung im Einzelfall ist eine Fachanwältin oder ein Fachanwalt für IT-Recht zuständig.