NIS2 How-To für kleine Betriebe

Zum durchgespielten BeispielAlle Vorlagen (ZIP)

1. Bin ich betroffen?

Für einen BHKW-Servicebetrieb kommen drei Wege in Frage:

• Weg 1, Managed Services Provider (Anlage 1 Nr. 6.1.10): Wer für Kunden Netz- und Informationssysteme installiert, verwaltet, betreibt oder wartet, auch aus der Ferne, ist ein MSP. Die Steuerung eines BHKW mit Router, SPS und Leitwarten-Anbindung ist ein solches System. Ein reiner Verkauf ohne Betrieb reicht nicht.
• Weg 2, Energie (Anlage 1 Nr. 1.1.4, Betreiber von Erzeugungsanlagen): Nur wenn der Betrieb die BHKW selbst betreibt, etwa im Contracting. Dann gelten die Sonderregeln der §§ 5c ff. EnWG mit IT-Sicherheitskatalog der Bundesnetzagentur. Reine Wartungsfirmen sind in der Regel nicht Betreiber.
• Weg 3, Verarbeitendes Gewerbe (Anlage 2, Maschinenbau oder elektrische Ausrüstung): Nur wenn der Betrieb BHKW-Module selbst herstellt oder zusammenbaut.

Ergebnis im Beispiel: Die Musterwerk KWK-Service GmbH betreibt die Anlagen nicht selbst, wartet aber die Steuerungen ihrer Kunden aus der Ferne und überwacht sie rund um die Uhr. Sie ist damit Managed Services Provider nach Anlage 1 Nr. 6.1.10.: Die Einordnung von OT-Fernwartung als MSP-Dienst ist bisher nicht durch Behörden oder Gerichte bestätigt. Die konservative Lesart ist, sie anzunehmen.

Nach § 28 Abs. 2 BSIG ist eine Einrichtung „wichtig“, wenn sie mindestens 50 Mitarbeitende hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. €. Gezählt wird nach der KMU-Empfehlung 2003/361/EG, also mit Partner- und verbundenen Unternehmen.

Achtung, häufiger Irrtum:

• 10 Mitarbeitende mit genau 10 Mio. € Umsatz sind nicht betroffen. Der Wert muss darüber liegen.
• Umsatz über 10 Mio. € allein reicht nicht. Die Bilanzsumme muss ebenfalls über 10 Mio. € liegen.
• Konzernzahlen zählen mit, wenn der Betrieb zu einer Gruppe gehört.

Ergebnis im Beispiel: 11,4 Mio. € Umsatz und 10,3 Mio. € Bilanzsumme. Beide Werte liegen über 10 Mio. €. Die hohe Bilanzsumme ergibt sich aus Lagerbestand an BHKW-Modulen und Forderungen aus Anlagenverkäufen.

Das BSI bietet eine kostenfreie Online-Betroffenheitsprüfung: betroffenheitspruefung-nis-2.bsi.de.

2. Was daraus folgt

• Registrierung beim BSI spätestens drei Monate, nachdem der Betrieb erstmals als wichtige Einrichtung gilt (§ 33 BSIG). Wer schon seit dem 06.12.2025 betroffen war, hätte bis 06.03.2026 registrieren müssen und holt das sofort nach.
• Risikomanagementmaßnahmen nach § 30 BSIG, zehn Pflichtbereiche, verhältnismäßig zur Größe.
• Meldepflicht für erhebliche Sicherheitsvorfälle nach § 32 BSIG: 24 h, 72 h, 1 Monat.
• Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
• Bußgelder für wichtige Einrichtungen bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
• Aufsicht: Bei wichtigen Einrichtungen prüft das BSI anlassbezogen, etwa nach einem Vorfall oder Hinweis. Dann müssen die Unterlagen vorliegen.
• Kein Muss: Ein System zur Angriffserkennung nach § 31 BSIG ist nur für Betreiber kritischer Anlagen Pflicht. Überwachung und Protokollierung verlangt aber der Anhang der DVO 2024/2690 auch von MSP.

Werkzeug: Das BSI bietet eine Online-Betroffenheitsprüfung an (betroffenheitspruefung-nis-2.bsi.de). Das Ergebnis ausdrucken und zu Formular F-01 legen.

3. Die ersten 30 Tage

1. Betroffenheit schriftlich festhalten (F-01).
2. ELSTER-Organisationszertifikat beantragen und „Mein Unternehmenskonto“ einrichten. Das dauert oft mehrere Wochen, deshalb zuerst.
3. Beim BSI registrieren (F-02).
4. Geschäftsführung beschließt Verantwortung, Rollen und Budget (F-03, F-04).
5. MFA für alle Konten, zuerst E-Mail, Fernwartung und Administratoren.
6. Gemeinsame Zugangsdaten abschaffen, Standardpasswörter an allen Routern ändern.
7. Meldeweg festlegen und die bestehende 24/7-Störungsbereitschaft um Sicherheitsvorfälle erweitern (P-07).
8. Notfall-Kontaktliste auf Papier und im Smartphone.
9. Backup mit einer Kopie, die ein Angreifer nicht löschen kann.
10. Alle Mitarbeitenden in 30 Minuten einweisen: Phishing erkennen, Vorfall sofort melden.

4. Die Prozesse im Betrieb

Zwölf Prozesse decken die Pflichten aus § 30 Abs. 2 BSIG ab. Jeder mit Zweck, Verantwortung, Ablauf, Nachweis und Takt im Muster.

• P-01 Betroffenheit und Registrierung (§§ 28, 33 BSIG): Einordnung festhalten, beim BSI registrieren, Daten aktuell halten. Formulare: F-01 F-02
• P-02 Leitung und Verantwortung (§ 38 BSIG): Die Geschäftsführung setzt die Maßnahmen um, überwacht sie und bildet sich fort. Formulare: F-03 F-16 F-17
• P-03 Risikoanalyse und Sicherheitskonzept (Nr. 1, Nr. 6): Wissen, was zu schützen ist, welche Risiken bestehen und was dagegen getan wird. Formulare: F-05 F-08
• P-04 Zugriffe und Fernwartung (Nr. 9, Nr. 10): Nur berechtigte Personen kommen an Systeme und Kundenanlagen, jede Fernsitzung ist nachvollziehbar. Formulare: F-15
• P-05 Systempflege und Schwachstellen (Nr. 5): Bekannte Lücken schnell schließen, auch an Routern und Steuerungen beim Kunden. Formulare: F-18
• P-06 Lieferkette und Dienstleister (Nr. 4): Eigene Lieferanten bewerten und eigene Pflichten gegenüber Kunden erfüllen. Formulare: F-14
• P-07 Vorfallbehandlung und Meldung (Nr. 2, § 32 BSIG): Vorfälle erkennen, eindämmen, beheben und fristgerecht melden. Formulare: F-09 F-12
• P-08 Notfallplan, Backup und Wiederanlauf (Nr. 3): Leitwarte und Fernwartung schnell wieder herstellen, Kundenanlagen laufen auch ohne uns sicher weiter. Formulare: F-13
• P-09 Schulung und Grundschutz im Alltag (Nr. 7): Jeder im Team erkennt Angriffe und weiß, was zu tun ist. Formulare: F-16
• P-10 Kryptografie und sichere Kommunikation (Nr. 8, Nr. 10): Daten auf Geräten und Wegen schützen, im Notfall sicher kommunizieren.
• P-11 Personal (Nr. 9): Vertrauen absichern, Wissen sichern.
• P-12 Wirksamkeit prüfen (Nr. 6): Nachweisen, dass Maßnahmen wirken. Formulare: F-17

5. Technik: das Mindestbild

• Identität und Geräte: Cloud-Büropaket mit zentraler Benutzerverwaltung, MFA, bedingtem Zugriff und Geräteverwaltung (Beispiel: Microsoft 365 Business Premium). Hardware-Schlüssel (FIDO2) für Admins und Fernwartung.
• Endpunktschutz: EDR auf allen Laptops und dem Leitwarten-Server.
• Überwachung: MDR-Dienst (Managed Detection and Response) mit 24/7-Analyse. Er sammelt Meldungen aus EDR, Cloud-Konten, Firewall und Fernwartungsplattform. Aufbewahrung der Protokolle 12 Monate. Ein eigenes SIEM lohnt sich in dieser Größe nicht.
• Fernwartungsplattform: zentraler VPN-Konzentrator mit Sprungserver in eigener Zone. Router an den BHKW bauen nur ausgehende Verbindungen zur Plattform auf. Zugriff nur mit persönlicher Anmeldung, MFA, Freigabe je Sitzung und Aufzeichnung. Beispiele für Produktklassen: industrielle Remote-Access-Server mit Benutzer- und Gruppenrechten.
• Firewall: bestehende Firewall bleibt, wird aber in Zonen aufgeteilt und gehärtet. Admin-Zugang nur intern mit MFA.
• Backup: Cloud-Backup der Büro-Daten und des Leitwarten-Servers, eine unveränderbare Kopie außer Haus.
• Passwortmanager für das Team, Tresor für Notfallzugänge.
• Notfallkanal: Messenger-Gruppe mit Ende-zu-Ende-Verschlüsselung, gedruckte Kontaktliste.
• Protokollierung: Plattform, Sprungserver, Firewall, Cloud-Konten, EDR und Leitwarte melden an den MDR-Dienst; Aufbewahrung 12 Monate, alle Systeme mit gemeinsamem Zeitserver.
• Trennung der Kunden: Jeder Kunde liegt in einer eigenen Zone der Plattform. Von einem Kundenrouter führt kein Weg zu einem anderen Kunden; das wird jährlich im Pentest geprüft.
• Serverraum: Zutritt nur für benannte Personen, Rauchmelder, Klima-Alarm und USV.

6. Melden: Fristen und Inhalte

Ablauf, Erheblichkeit und Kontaktliste: Meldewege im Muster.

7. Alle Formulare

• F-01 Betroffenheitsprüfung: Vorlage · Beispiel
• F-02 Registrierungsdaten BSI: Vorlage · Beispiel
• F-03 Beschluss der Geschäftsführung: Vorlage · Beispiel
• F-04 Rollen und Zuständigkeiten: Vorlage · Beispiel
• F-05 Leitlinie zur Informationssicherheit (Kurzfassung): Vorlage · Beispiel
• F-06 Inventar: Systeme, Dienste, Zugänge: Vorlage · Beispiel
• F-07 Risikoregister: Vorlage · Beispiel
• F-08 Maßnahmenplan nach § 30 Abs. 2 BSIG: Vorlage · Beispiel
• F-09 Erstaufnahme Sicherheitsereignis (intern): Vorlage · Beispiel
• F-10 Bewertung der Erheblichkeit: Vorlage · Beispiel
• F-11 Meldeprotokoll BSI: Vorlage · Beispiel
• F-12 Information der Kunden: Vorlage · Beispiel
• F-13 Notfall- und Wiederanlaufplan: Vorlage · Beispiel
• F-14 Lieferantenbewertung: Vorlage · Beispiel
• F-15 Antrag Berechtigung und Fernzugriff: Vorlage · Beispiel
• F-16 Schulungsnachweis: Vorlage · Beispiel
• F-17 Management-Review: Vorlage · Beispiel
• F-18 Schwachstellen- und Patchregister: Vorlage · Beispiel

8. Prüfpunkte und Quellen

Vor Nutzung prüfen:

• Einordnung OT-Fernwartung als Managed Services Provider: noch keine behördliche Bestätigung.
• Beginn des „erstmals Geltens“ bei Überschreiten der Schwellen mit dem Jahresabschluss und die Frage, ob die KMU-Regel mit zwei aufeinanderfolgenden Geschäftsjahren angewendet wird.
• Fristen für Änderungsmitteilungen im BSI-Portal.
• Reichweite von § 35 BSIG (Unterrichtung der Kunden) für Managed Service Provider.
• Änderungen der Anlage 1 BSIG nach dem Stand 05.11.2026.

Rechtsquellen:

• BSI-Gesetz in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, gültig seit 06.12.2025: §§ 28, 30, 32, 33, 35, 38, 65, Anlage 1.
• Richtlinie (EU) 2022/2555 (NIS2), Art. 21 und 23.
• Durchführungsverordnung (EU) 2024/2690, Art. 3, 4, 10 und Anhang.
• Empfehlung 2003/361/EG (KMU-Definition).
• Art. 33 DSGVO.

Hilfen:

• BSI-Betroffenheitsprüfung: betroffenheitspruefung-nis-2.bsi.de
• BSI-Portal: portal.bsi.bund.de
• Mein Unternehmenskonto: info.mein-unternehmenskonto.de

Kostenfreie Arbeitshilfe von OT-Cyber.de, keine Rechtsberatung. Rechtsstand: 05.11.2026.