Mehr als 27.000 kleine und mittlere Unternehmen in Deutschland stehen vor einer großen Herausforderung: Sobald das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland in Kraft tritt, sind sie zu Cybersicherheitsmaßnahmen verpflichtet – unabhängig von den Ressourcen ihrer IT-Abteilung. In vielen mittelständischen Unternehmen ist IT zwar organisatorisch vorhanden – doch oft fehlen hier die Mittel und klar definierte Rollen für Cybersicherheit, Compliance oder Meldeprozesse. Nicht zuletzt ist die Geschäftsführung in der Pflicht, Verantwortung zu übernehmen und NIS2 nicht als reines IT-Projekt abzutun. Es ist eine strategische Führungsaufgabe.
Warum Handlungsdruck besteht
Die Zahl der Cyberangriffe nimmt kontinuierlich zu, während der Mittelstand vermehrt ins Visier von Cyberkriminellen rückt. Laut dem Cyberbedrohungsbericht von Yarix, der Cybersecurity-Marke der Var Group, betrafen mehr als 80 Prozent der im Jahr 2024 registrierten Ransomware-Angriffe Betriebe im KMU-Segment. Hinzu kommt, dass viele Betriebe die Bedrohungslage unterschätzen und es oft an einer realistischen Einschätzung der eigenen IT-Sicherheitssituation sowie der verfügbaren personellen und strukturellen Ressourcen fehlt. „Doch gerade im Ernstfall kommt es auf schnelle Reaktionen an. Und diese erfordern eine belastbare IT-Infrastruktur, klar definierte Zuständigkeiten und einen durchdachten Notfallplan“, erklärt Hartmut Mersch, Geschäftsführer von Yarix im DACH-Raum.
NIS2 dennoch umsetzen
Ein Weg, wie auch Unternehmen mit unterbesetzten IT-Abteilungen die NIS2-Anforderungen dennoch erfüllen können ist die Zusammenarbeit mit spezialisierten Managed Security Service Providern (MSSP). Zum Leistungsspektrum eines MSSPs gehören typischerweise ein Security Operations Center (SOC) sowie Managed Detection und Response (MDR). Das SOC fungiert als Sicherheitsleitstelle und bietet kontinuierliche Sicherheits- und Compliance-Überwachung sowie Bedrohungserkennung, -analyse und -reaktion. Ein MDR-Dienst konzentriert sich hauptsächlich auf Bedrohungserkennung und -reaktion. Beide Dienste ergänzen sich und lassen sich je nach Bedarf kombinieren. Bei der Auswahl eines MSSP-Dienstleisters gibt es jedoch einige Kriterien zu beachten, unter anderem Prozesskompatibilität, Skalierbarkeit oder Branchenverständnis
