IT-Sicherheit.
Bevor der Ernstfall
den Betrieb stilllegt.

Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Für viele wichtige Einrichtungen gilt: eine erfasste Einrichtungsart und mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Sonderregeln und Unternehmensverflechtungen können die Einordnung verändern. Die konkrete Prüfung richtet sich nach § 28 BSIG und den Anlagen 1 und 2. Kleinere Zulieferer können vertragliche Sicherheitsanforderungen ihrer Kunden erfüllen müssen, ohne selbst direkt reguliert zu sein.

Ein realistischer Einstieg liegt bei einer einmaligen Bestandsaufnahme ab 299 Euro netto (Einsteiger-Check, bis 200 Arbeitsplätze). Die laufenden Kosten für EDR, MFA, Backup und Patch-Management hängen von Geräteanzahl, Standorten und Datenvolumen ab; für ein KMU mit 20 bis 50 Arbeitsplätzen liegen sie typischerweise im niedrigen bis mittleren vierstelligen Bereich pro Monat. Im ersten Gespräch erhalten Sie eine konkrete Größenordnung — ohne Verkaufsdruck.

Ohne aktives Monitoring werden Angriffe nach Branchen-Auswertungen oft erst nach Wochen oder Monaten entdeckt — häufig erst, wenn die Verschlüsselung läuft oder Daten im Darknet auftauchen. Mit Endpoint Detection & Response und ausgewerteten M365-Login-Logs lassen sich verdächtige Muster in der Regel deutlich früher erkennen. Eine Garantie, jeden Angriff in Echtzeit zu sehen, gibt es nicht — wohl aber eine substanzielle Verkürzung der Verweildauer.

Für betroffene Einrichtungen können Pflichtverletzungen behördliche Maßnahmen und Bußgelder auslösen. Geschäftsleitungen müssen Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Eine Haftung für schuldhaft verursachte Schäden richtet sich nach § 38 BSIG und dem anwendbaren Gesellschaftsrecht. net-kom unterstützt bei der technischen Umsetzung und Dokumentation; rechtliche Einordnungen erfolgen mit Ihrer Rechtsberatung.

Für ein KMU mit 10 bis 50 Mitarbeitern und bestehender Microsoft-365-Umgebung kalkulieren wir typischerweise 4 bis 8 Wochen für die technischen Grundmaßnahmen — MFA, EDR-Rollout, Backup-Konzept mit Restore-Test, Patch-Management, erste Netzwerksegmentierung. Die Sicherheits-Dokumentation und Mitarbeiter-Sensibilisierung sind danach laufende Prozesse, kein einmaliges Projekt.

Virenschutz ist ein Baustein. Hinzu kommen unter anderem sichere Zugänge, Updates, Datensicherung und ein abgestimmter Umgang mit Sicherheitsvorfällen. Endpoint Detection & Response (EDR) ergänzt die Erkennung um Verhaltensanalysen und unterstützt die Untersuchung auffälliger Geräte. Welche Maßnahmen erforderlich sind, ergibt sich aus Ihrer Risikoanalyse, den anwendbaren Vorgaben und gegebenenfalls Ihrem Versicherungsvertrag.

Drei Datenkopien (Original plus zwei Sicherungen), auf zwei verschiedenen Medientypen, davon eine außer Haus. Ergänzt um Immutable Storage — also unveränderlich abgelegte Sicherungen — bleiben Backups auch bei einem Ransomware-Angriff in der Regel intakt. Ein Backup ohne dokumentierten Restore-Test ist im Ernstfall jedoch keine belastbare Größe; deshalb gehört der Wiederherstellungs-Test fest in das Konzept.

net-kom übernimmt auf Wunsch auch nur die Sicherheits-Spezialthemen: NIS2-Bestandsaufnahme, Maßnahmen-Roadmap, Selbstauskunft für die Cyber-Versicherung, Audit der vorhandenen Backup- und Patch-Prozesse. Wenn Ihr bisheriger Dienstleister diese Themen bisher nicht abdeckt, füllen wir die Lücke — ohne ihn zu ersetzen.