Ein inhabergeführter mittelständischer IT- und Bürotechnik-Dienstleister mit über 50 Mitarbeitenden hatte sich beim Thema NIS2 lange zurückgelehnt. Kein Energieversorger, kein Krankenhaus, kein Rechenzentrum. Das Gesetz, so die Annahme, meint die Großen. Dann lagen die ersten Sicherheitsfragebögen großer Kunden auf dem Tisch, mit der freundlichen Bitte um Nachweise. Wer nicht liefern kann, fliegt aus der Lieferantenliste.
Als Digitalisierungsberater wurde ich beauftragt, dieses Unternehmen zur Zertifizierung nach ISO 27001 zu bringen. Wir stecken mitten in diesem Projekt. Was ich dabei bisher gelernt habe, betrifft fast jeden kleinen Betrieb, der für größere Kunden arbeitet.
Kurz gesagt: Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten und verpflichtet rund 29.500 Unternehmen direkt, ohne Übergangsfrist. Aber auch wer nicht direkt darunterfällt, wird über zwei Wege hineingezogen: über die Lieferkette großer Kunden und über die eigene Cyberversicherung.
NIS2 meint dich, auch wenn das Gesetz dich nicht meint
Der erste Weg ist die Lieferkette. Unternehmen, die direkt unter NIS2 fallen, müssen die Sicherheit ihrer Lieferanten mitverantworten. Also schicken sie ihren Dienstleistern Sicherheitsfragebögen und verlangen Nachweise. Wer die nicht liefern kann, verliert den Kunden.
Der zweite Weg ist die Cyberversicherung. Versicherer setzen dieselben Maßnahmen voraus, die auch NIS2 verlangt: aktuelle Software, Zwei-Faktor-Anmeldung, Backups, Schulungsnachweise. Kommt es zum Schaden, musst du nachweisen, dass du diese Maßnahmen erfüllt hast. Ohne Dokumentation kürzt die Versicherung die Leistung oder zahlt am Ende gar nicht.
Beide Wege haben eines gemeinsam: Sie greifen, lange bevor dich das Gesetz selbst auf dem Zettel hat.
Der Drucker als Einfallstor
Der Betrieb, den ich begleitet habe, bietet unter anderem Managed Print Services an. Er betreut also die Drucker- und Kopiererflotten seiner Kunden und wählt sich dafür per Fernwartung in deren Netzwerke ein. Klingt harmlos. Ist es nicht.
Der entscheidende Perspektivwechsel kam gleich zu Projektbeginn.
Aus Sicht der Sicherheit ist so ein Betrieb kein Drucker-Lieferant, sondern ein Lieferant mit Schlüssel zu fremden Netzwerken.
Er verarbeitet sensible Daten über die Umgebungen seiner Kunden: Konfigurationen, Zugangsdaten, Inventarlisten. Ein einziger Kunde aus einem regulierten Bereich wie Energie, Gesundheit oder Banken genügt, und die Nachweispflichten kommen über die Lieferkette ins Haus. Genau das war passiert.
Dazu kommt ein Detail, das in klassischen Sicherheitskonzepten fast immer vergessen wird: Ein moderner großer Multifunktionsdrucker ist ein vollwertiger Computer im Netzwerk. Eigenes Betriebssystem, eigene Festplatte, offene Dienste, ab Werk oft mit Standard-Passwörtern. Ein dokumentiertes Einfallstor, an dem viele achtlos vorbeigehen.
Der Auftrag: ISO 27001, auf dem üblichen Weg
Der Auftrag war klar umrissen und ganz konventionell: das Unternehmen zur Zertifizierung nach ISO 27001 bringen, auf dem bisher üblichen Weg. ISO 27001 ist der internationale Standard für Informationssicherheit. Er deckt etwa 70 bis 80 Prozent der NIS2-Anforderungen ab und ist für private Unternehmen der pragmatische Weg.
Das Kernstück war ein Fahrplan über zwölf Monate mit 63 konkreten Maßnahmen in sechs Phasen, von der Inventarisierung über Passwort- und Zwei-Faktor-Regeln und die Absicherung der Geräte bis zum Lieferantenmanagement, der Reaktion auf Sicherheitsvorfälle und der Vorbereitung auf das Audit. Jede Maßnahme ist auf die zehn Pflichtbereiche des Sicherheitsgesetzes (§ 30 BSIG) und auf die ISO-Vorgaben abgebildet. Den Fahrplan führe ich als lebendes Dokument, weil die zugehörige Rechtsverordnung noch aussteht.
Ein Punkt war mir von Anfang an wichtig: Die Rollen wurden bewusst getrennt. Der Datenschutzbeauftragte kontrolliert, der Informationssicherheitsbeauftragte setzt um. Nicht dieselbe Person, denn wer sich selbst kontrolliert, kontrolliert schlecht.
Von der Stange kaufen oder selbst bauen?
So weit der Auftrag. Was dann kam, stand in keinem Vertrag. Ich habe in dieser Phase ein paar unruhige Nächte gehabt, nicht wegen der 63 Maßnahmen selbst, sondern wegen der Frage, wie ich das alles möglichst entspannt und störungsfrei über die Bühne bringe, ohne dass der laufende Betrieb darunter leidet.
Aus diesen Überlegungen wuchs eine Idee, die ursprünglich niemand bestellt hatte: eine eigene, bewusst schlanke Software, die den ganzen Fahrplan, die Schulungen und die Nachweise an einer Stelle bündelt. Bevor ich etwas gebaut habe, habe ich durchgerechnet, was es schon gibt.
Eine Excel-Tabelle bricht zusammen, sobald es um Versionen, Rollen und belastbare Nachweise geht. Für ein Audit ist sie nicht geeignet. Fertige Compliance-Programme gibt es, sie sind aber für einen Betrieb dieser Größe überdimensioniert und teuer. Und verinice, eine solide Open-Source-Lösung aus dem Umfeld des Bundesamts für Sicherheit in der Informationstechnik, kostet rund 1.200 bis 1.400 Euro im Jahr, bringt aber kein Schulungsmodul mit. Es wäre also ein zweites System nötig gewesen, mit zwei getrennten Datenhaltungen.
Also habe ich mich für den ungewöhnlichen Weg entschieden: die Plattform selbst bauen, KI-gestützt. Ich habe die Fachkonzepte geschrieben und Claude Code als Programmier-Agenten die Software bauen lassen.
Mit KI verschiebt sich die alte Frage, kaufen oder selbst bauen. Was früher ein Entwicklerteam und Monate gebraucht hätte, entsteht heute in Wochen.
Die Begründung steht im Entscheidungsregister des Projekts: Die Kombination aus Fahrplan, Schulung mit Nachweis und Audit-Export gibt es in keinem Standardwerkzeug aus einem Guss. Der Fahrplan ließ sich eins zu eins abbilden, statt ihn in ein fremdes Datenmodell zu pressen. Die Kosten lagen unter dem günstigsten Abo. Und als Nebeneffekt kann der Betrieb seinen eigenen Kunden ein selbst betriebenes Sicherheits-Cockpit zeigen.
Die Risiken habe ich ehrlich dokumentiert: kein Herstellersupport, die Wartung bleibt im Haus, und man muss beim Funktionsumfang diszipliniert bleiben. Dagegen standen konkrete Gegenmaßnahmen: ein Betriebshandbuch als Pflichtabgabe, ein durchgespielter Wartungsfall mit Diagnose, Update und Rückrollen, ein Diagnosepaket ohne Personendaten und verinice als benannter Plan B. Die Geschäftsführung hat nach einer Live-Demo den formalen Go gegeben.
Was dabei herauskam
Entstanden ist eine Webplattform mit fünf Bausteinen.
- Fahrplan-Tracking: alle 63 Maßnahmen mit Status, Verantwortlichen und Fälligkeit. Ein Status wechselt nur mit Kommentar, und „nachgewiesen“ gibt es nur mit hinterlegtem Nachweis. Für die Geschäftsführung läuft ein Ampel-Board über die sechs Phasen.
- Schulung mit Nachweis: kurze Lernmodule zu Phishing, Passwörtern, Vorfallsmeldung und Gerätesicherheit, jeweils mit Quiz. Wer besteht, erzeugt automatisch den Nachweis. Nach zwölf Monaten steht die Wiederholung an.
- Dokumentenlenkung: Versionen, ein klarer Freigabeweg von Entwurf bis Archiv und Pflichtdokumente, die zur Kenntnis genommen werden müssen.
- Funktionsträger-Register: wer welche Sicherheitsrolle hat und wo eine Rolle unbesetzt ist.
- Audit-Export: das komplette Nachweispaket als PDF auf Knopfdruck, mit fertigen Sichten für das Zertifizierungsaudit und für die Sicherheitsanfragen der Kunden.
Die Technik in normaler Sprache: Die Plattform läuft auf den eigenen Servern des Unternehmens, nicht in einer fremden Cloud. Angemeldet wird über den bestehenden Microsoft-365-Zugang mit Zwei-Faktor, ohne zusätzliche Passwörter. Das Protokoll lässt sich nachträglich nicht verändern. Ein Belastungstest mit 100 gleichzeitigen Nutzern lief sauber, gebraucht werden rund 60.
Compliance ohne Überwachung
Ein Teil, auf den ich besonders stolz bin, ist der Datenschutz im Entwurf selbst. Beim Schulungsnachweis wird nur gespeichert, ob jemand bestanden hat, dazu Zeitpunkt und Version des Moduls. Keine einzelnen Antworten, keine Bearbeitungsdauer, keine Fehlversuche.
Gespeichert wird, ob jemand die Schulung bestanden hat, nicht, wie er sich dabei angestellt hat.
Damit ist das System kein Werkzeug zur Leistungskontrolle. Das entschärft Datenschutz- und Mitbestimmungsfragen und schafft Akzeptanz in der Belegschaft. Führungskräfte sehen nur die Quote ihres Teams, keine einzelne Person. Und die Mitarbeitenden wurden vor dem Start offen informiert, nicht heimlich beobachtet. Die Plattform selbst wurde übrigens als Baustein in das eigene Sicherheitssystem aufgenommen. Sie unterliegt denselben Regeln, die sie verwaltet.
Ein Berater und KI statt eines ganzen Teams
Das eigentlich Neue an diesem Projekt war die Arbeitsweise. Die Facharbeit, also Konzepte, Richtlinien und der Fahrplan, ist im KI-Chat entstanden, konsequent ohne echte Personen- oder Kundendaten. Die Programmierung hat Claude Code nach genauen Vorgaben übernommen, jeder Baustein mit automatischen Tests abgesichert, über hundert Prüfungen, live nachkontrolliert und versioniert. Jede Grundsatzentscheidung steht im Entscheidungsregister, mit Kontext, Begründung und den verworfenen Alternativen. Über 25 Entscheidungen sind so festgehalten. Im Audit beantwortet das die Frage „Warum haben Sie das so gelöst?“ schon vorab.
Das Ergebnis ist ein Werkzeug, das genau zu diesem Unternehmen passt, in Wochen statt Monaten gebaut, zu einem Bruchteil dessen, was klassische Individualentwicklung kostet, und mit einer Dokumentation, die besser ist als in vielen großen Projekten. Wie so ein KI-gestütztes Vorgehen bei mir im Alltag aussieht, habe ich am Beispiel meines KI-Teams beschrieben.
Was du daraus mitnehmen kannst
NIS2 kommt bei kleinen Betrieben durch die Hintertür, über die Kunden und über die Versicherung. Wer wartet, bis der erste Fragebogen kommt, sucht am Ende unter Zeitdruck zusammen, was er über Monate hätte aufbauen können.
Sicherheit muss dabei kein reiner Kostenblock bleiben. Aus den internen Maßnahmen zur Gerätesicherheit ist bei diesem Betrieb inzwischen ein eigenes Angebot für seine Kunden geworden. Aus einer Pflicht wurde ein Verkaufsargument.
Und der dritte Punkt treibt mich als Berater am meisten um: Mit KI kann heute ein einzelner erfahrener Praktiker bauen, wofür früher ein ganzes Team nötig war. Ich erlebe das gerade selbst. Das Projekt läuft noch, wir sind mitten in der Umsetzung, aber die Plattform ist längst im Einsatz.
Ein ehrlicher Hinweis zum Schluss: NIS2 ist ein rechtliches Thema, und dieser Beitrag ist ein Erfahrungsbericht aus der Praxis, keine Rechtsberatung. Wo es für deinen Betrieb konkret wird, gehört eine fachkundige Beratung dazu. Wenn du erst einmal wissen willst, wo dein Betrieb beim Thema KI-Kompetenz überhaupt steht, hol dir die KI-Kompetenz-Checkliste von ki-strategien.com.
Stand der Rechtslage: Juli 2026.
Häufige Fragen
Bin ich von NIS2 betroffen, wenn mein Betrieb zu klein ist?
Direkt vielleicht nicht. Aber über die Lieferkette großer Kunden und über deine Cyberversicherung kann es dich trotzdem treffen. Sobald ein Kunde Sicherheitsnachweise verlangt, brauchst du sie.
Was ist NIS2 überhaupt?
Eine EU-Richtlinie zur Cybersicherheit. Das deutsche Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 und verpflichtet rund 29.500 Unternehmen direkt, ohne Übergangsfrist.
Reicht eine Excel-Tabelle für die Nachweise?
Eine Weile vielleicht. Sobald es um Versionen, Rollen und prüffähige Nachweise geht, bricht das zusammen. Für ein Audit ist es nicht geeignet.
Muss ich für Compliance ein teures Programm kaufen?
Nicht zwingend. Fertige Programme sind für kleine Betriebe oft überdimensioniert. Eine schlanke, passgenaue Lösung kann günstiger sein, und mit KI ist sie heute machbar.
Ist das hier Rechtsberatung?
Nein. Das ist ein Erfahrungsbericht aus einem echten Projekt. Für die rechtliche Bewertung deines Falls brauchst du fachkundige Beratung.
Bilder in diesem Beitrag sind KI-generiert.
