Der 90-Tage-NIS2-Plan für KMU: Woche für Woche ohne Berater

Wer NIS2 zum ersten Mal umsetzt, sucht meist zuerst einen Berater – und stellt dann fest, dass gute Beratungshäuser für den Mittelstand oft erst in einigen Monaten Kapazität haben, während die eigene Geschäftsführung nach § 38 BSIG schon jetzt persönlich haftet, sobald das Unternehmen als „wichtige“ oder „besonders wichtige Einrichtung“ gilt.[1] Die gute Nachricht: Ein kleines Team kann in 90 Tagen ohne externe Beratung von „gar nichts dokumentiert“ zu einem nachweisbaren, prüfungsfähigen Grundgerüst kommen – wenn die Reihenfolge stimmt.

Dieser Fahrplan ist keine gesetzliche Frist. Es gibt keine „90-Tage-Regel“ im BSIG. Er ist eine pragmatische interne Zielmarke, die sich in der Praxis bewährt hat, weil sie kurz genug ist, um Dringlichkeit zu erzeugen, und lang genug, um die zehn Maßnahmenbereiche aus § 30 Absatz 2 BSIG ohne Chaos abzuarbeiten. Der Plan gliedert sich in drei Phasen zu je vier bis sechs Wochen: Bestandsaufnahme, Maßnahmen, Nachweise. Jede Woche hat ein konkretes Deliverable – kein vages „sich mit dem Thema befassen“, sondern ein Dokument, eine Konfigurationsänderung oder eine Unterschrift, die am Ende der Woche existieren muss.

Warum 90 Tage ohne Berater realistisch sind

§ 30 Absatz 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame“ Maßnahmen und schreibt ausdrücklich vor, dass bei der Bewertung der Verhältnismäßigkeit „das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen“ zu berücksichtigen sind.[2] Für ein Team von fünf bis fünfzehn Personen bedeutet das: Der Umfang jeder einzelnen Maßnahme darf schlank sein – eine Seite Incident-Response-Plan statt eines 40-seitigen Handbuchs –, aber alle zehn Bereiche müssen irgendwie adressiert sein. Genau das lässt sich in 90 Tagen ohne externe Hilfe schaffen, wenn die Arbeit sequenziell statt parallel angegangen wird.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne separate Übergangsfrist in Kraft. Wer heute beginnt, beginnt nicht bei null Risiko, sondern holt eine bereits laufende Pflicht nach. Das ist kein Grund zur Panik, aber ein Grund, den Plan diese Woche zu starten statt ihn „für nächstes Quartal“ zu verschieben. Ein Team ohne dedizierten CISO schafft die Basis-Compliance nicht durch mehr Personal, sondern durch eine klare Reihenfolge: erst wissen, was fehlt (Bestandsaufnahme), dann die günstigsten Lücken zuerst schließen (Maßnahmen), dann alles so dokumentieren, dass es einer Prüfung standhält (Nachweise).

Was auf dem Spiel steht, ist dabei kein abstraktes Risiko: Nach § 65 BSIG drohen besonders wichtigen Einrichtungen Bußgelder bis zehn Millionen Euro oder, bei einem Jahresumsatz über 500 Millionen Euro weltweit, bis zu zwei Prozent des Gesamtumsatzes; wichtige Einrichtungen riskieren bis zu sieben Millionen Euro beziehungsweise 1,4 Prozent.[3] Für ein kleines Team ist dieser Rahmen weniger eine Zahl zum Merken als eine Begründung dafür, warum sich 90 Tage konzentrierter Arbeit lohnen: Ein dokumentiertes Grundgerüst senkt im Ernstfall nicht automatisch die Bußgeldhöhe, zeigt einer Aufsichtsbehörde aber, dass die Geschäftsleitung ihrer Sorgfaltspflicht aktiv nachgekommen ist – ein Unterschied, der bei jeder Prüfung zählt.

Der Fahrplan im Überblick: 3 Phasen, 13 Wochen

Die folgende Tabelle zeigt den kompletten Ablauf. Sie ist der Kern dieses Artikels – jede Woche darunter wird im jeweiligen Phasenabschnitt genauer erklärt.

Woche	Phase	Fokus	Deliverable am Wochenende
1	Bestandsaufnahme	Betroffenheit & Scope klären	Kategorie (wesentlich/wichtig) schriftlich festgelegt, Verantwortliche benannt
2	Bestandsaufnahme	Asset- und Systeminventar	Liste aller kritischen IT-Systeme, Daten und Netzwerksegmente
3	Bestandsaufnahme	Lieferanten- und Dienstleisterübersicht	Tabelle aller IT-Dienstleister mit grober Kritikalitätseinstufung
4	Bestandsaufnahme	Gap-Analyse gegen § 30 Abs. 2 BSIG	Ampel-Bewertung (grün/gelb/rot) für alle zehn Maßnahmenbereiche
5	Maßnahmen	Zugriffskontrolle & MFA	MFA auf allen administrativen und Fernzugriffen aktiv
6	Maßnahmen	Meldewege festlegen	Ein-Seiten-Eskalationskette für die 24h/72h-Meldefrist an das BSI
7	Maßnahmen	Backup & Wiederherstellung testen	Dokumentierter Restore-Test mit Ergebnisprotokoll
8	Maßnahmen	Risikoanalyse-Grundgerüst	Erste schriftliche Risikobewertung der kritischsten Systeme
9	Maßnahmen	Lieferkettensicherheit	Kritikalitätsregister mit Vertragsprüfung für die drei wichtigsten Dienstleister
10	Maßnahmen	Schulung & Sensibilisierung	Einstündige Pflichtschulung für die gesamte Belegschaft durchgeführt
11	Nachweise	Dokumentation konsolidieren	Alle Nachweise aus Woche 1-10 in einer zentralen Ablage gebündelt
12	Nachweise	Freigabe der Geschäftsleitung	Unterschriebenes Freigabeprotokoll nach § 30 BSIG (Genehmigungspflicht)
13	Nachweise	Trockenübung & Lückenliste 2.0	Simulierter Vorfall durchgespielt, offene Punkte priorisiert für Monat 4+

Phase 1: Bestandsaufnahme (Woche 1-4)

Die erste Phase kostet kein Budget, nur Zeit – und sie ist die Phase, die am häufigsten übersprungen wird, weil sie sich nicht wie „echte Arbeit“ anfühlt. Das ist ein Fehler: Ohne eine ehrliche Bestandsaufnahme priorisiert das Team in Phase 2 nach Bauchgefühl statt nach tatsächlichem Risiko.

Woche 1 – Betroffenheit und Scope: Bevor irgendetwas umgesetzt wird, muss feststehen, ob und in welcher Kategorie das Unternehmen überhaupt betroffen ist – besonders wichtige Einrichtung, wichtige Einrichtung oder (noch) nicht erfasst. Diese Einstufung entscheidet über den Pflichtenumfang und sollte schriftlich mit Datum festgehalten werden, nicht nur mündlich abgestimmt. Gleichzeitig wird eine verantwortliche Person benannt – in einem Kleinbetrieb oft die IT-Leitung mit direkter Berichtslinie an die Geschäftsführung, nicht ein neu zu schaffender Vollzeit-CISO-Posten.

Woche 2 – Asset- und Systeminventar: Welche Systeme verarbeiten geschäftskritische Daten? Welche Netzwerksegmente existieren? Welche Systeme wären bei einem Ausfall binnen 24 Stunden ein Betriebsstillstand, welche könnten eine Woche warten? Eine einfache Tabelle mit drei Spalten – System, Zweck, Kritikalität (hoch/mittel/niedrig) – reicht als Startpunkt. Perfektion ist hier nicht das Ziel, Vollständigkeit der offensichtlich wichtigen Systeme schon.

Woche 3 – Lieferanten- und Dienstleisterübersicht: NIS2 verlangt ausdrücklich Lieferkettensicherheit als eigenen Maßnahmenbereich. Die meisten kleinen Teams haben nie eine vollständige Liste ihrer IT-Dienstleister mit einer Risikobewertung erstellt – Cloud-Hosting, Buchhaltungssoftware, externe IT-Betreuung, Zahlungsdienstleister. Diese Woche entsteht eine erste Version dieser Liste, grob nach Kritikalität sortiert.

Woche 4 – Gap-Analyse: Jetzt werden die zehn Maßnahmenbereiche aus § 30 Absatz 2 BSIG einzeln durchgegangen und ehrlich mit Ampelfarben bewertet: Risikoanalyse, Vorfallbewältigung, Betriebskontinuität, Lieferkettensicherheit, Sicherheit bei Erwerb/Entwicklung/Wartung von IKT-Systemen, Wirksamkeitsbewertung, Schulungen, Kryptografie, Personalsicherheit/Zugriffskontrolle, Multi-Faktor-Authentifizierung.[2] Rot heißt „existiert praktisch nicht“, Gelb heißt „existiert informell, aber undokumentiert“, Grün heißt „existiert und ist dokumentiert“. Diese Ampel-Tabelle ist die Grundlage für die Priorisierung in Phase 2 – die roten Felder mit dem geringsten Umsetzungsaufwand kommen zuerst dran, nicht die roten Felder mit dem größten wahrgenommenen Risiko.

Phase 2: Maßnahmen (Woche 5-10)

In dieser Phase werden die roten Felder aus der Gap-Analyse in dieser Reihenfolge geschlossen: zuerst was wenig kostet und das größte Einzelrisiko senkt, danach was mehr Zeit braucht. Ein vollständiges Kryptografiekonzept oder eine tiefgreifende Lieferantenaudit-Kampagne gehören bewusst nicht in diese sechs Wochen – sie werden in Phase 3 als offene Punkte für Monat 4 dokumentiert, nicht ignoriert.

Woche 5 – Zugriffskontrolle und MFA: Multi-Faktor-Authentifizierung für Fernzugriffe und administrative Konten ist in den meisten Umgebungen ein reiner Konfigurationsschritt in bereits vorhandener Software, keine Neuanschaffung. Gestohlene oder erratene Zugangsdaten zählen zu den häufigsten Einfallswegen für Ransomware – diese eine Woche senkt das Gesamtrisiko oft stärker als jede andere Einzelmaßnahme im gesamten Plan.

Woche 6 – Meldewege festlegen: Eine Ein-Seiten-Eskalationskette legt fest, wer bei einem Sicherheitsvorfall wen anruft, wer die Frühwarnung binnen 24 Stunden an das BSI absetzt und wer die vollständige Meldung binnen 72 Stunden vorbereitet. Ohne dieses Dokument verstreicht die 24-Stunden-Frist in der Praxis oft allein dadurch, dass niemand weiß, wer den ersten Schritt tun soll.

Woche 7 – Backup und Wiederherstellung testen: Ein Backup, das automatisiert läuft, aber nie zurückgespielt wurde, ist eine Annahme, kein Nachweis. Diese Woche wird ein realer Restore-Test durchgeführt und das Ergebnis – erfolgreich oder mit welchen Problemen – dokumentiert. Betriebskontinuität ist einer der zehn Pflichtbereiche, und ein getesteter Restore ist der greifbarste Einzelnachweis dafür.

Woche 8 – Risikoanalyse-Grundgerüst: Aufbauend auf dem Inventar aus Woche 2 entsteht eine erste schriftliche Risikobewertung für die als „hoch kritisch“ markierten Systeme: Welche Bedrohungen sind realistisch, welche Auswirkung hätte ein Ausfall, welche Maßnahmen mindern das Risiko bereits. Diese Analyse muss nicht ISO-27001-Tiefe erreichen – sie muss existieren, aktuell sein und nachvollziehbar begründen, warum welche Priorität gesetzt wurde.

Woche 9 – Lieferkettensicherheit: Aus der groben Liste von Woche 3 wird jetzt ein Kritikalitätsregister für die drei bis fünf wichtigsten Dienstleister, inklusive einer kurzen Prüfung der bestehenden Verträge auf Sicherheits- und Meldepflichten. Ein vollständiges Lieferanten-Audit-Programm ist für Monat 4 vorgesehen – diese Woche schafft die Grundlage, nicht die Vollständigkeit.

Woche 10 – Schulung und Sensibilisierung: Eine einstündige Pflichtschulung für die gesamte Belegschaft, mit konkreten Phishing-Beispielen und den in Woche 6 festgelegten internen Meldewegen. Die meisten erfolgreichen Angriffe beginnen nicht bei der Technik, sondern bei einer angeklickten E-Mail – diese Schulung ist damit auch eine der wirksamsten Einzelmaßnahmen im gesamten Plan, nicht nur eine Formalität.

Phase 3: Nachweise (Woche 11-13)

Die dritte Phase unterscheidet ein Unternehmen, das Maßnahmen umgesetzt hat, von einem Unternehmen, das seine Compliance auch belegen kann. Beides ist nötig – § 30 BSIG verlangt nachweisbare, nicht nur gefühlte Sicherheit.

Woche 11 – Dokumentation konsolidieren: Alle Nachweise aus den vorangegangenen zehn Wochen – Ampel-Tabelle, Restore-Protokoll, Risikoanalyse, Kritikalitätsregister, Schulungsteilnahmeliste – werden an einem zentralen Ort gebündelt, idealerweise versioniert und mit Datum. Verstreute Nachweise in einzelnen E-Mail-Postfächern sind bei einer Prüfung faktisch nicht vorhanden.

Woche 12 – Freigabe der Geschäftsleitung: § 30 BSIG verlangt, dass die Leitung der Einrichtung die Risikomanagementmaßnahmen billigt und ihre Umsetzung überwacht. Diese Woche wird daraus ein konkreter Termin: Die Geschäftsführung sichtet die konsolidierte Dokumentation und unterschreibt ein kurzes Freigabeprotokoll. Ohne dieses Protokoll lässt sich gegenüber einer Aufsichtsbehörde nicht belegen, dass die Geschäftsleitung ihrer Pflicht überhaupt nachgekommen ist – und genau diese Pflichtverletzung ist der Kern der persönlichen Haftung nach § 38 BSIG.[1]

Woche 13 – Trockenübung und Lückenliste 2.0: Ein simulierter Vorfall – zum Beispiel ein fiktiver Ransomware-Befall auf einem der als kritisch eingestuften Systeme – wird anhand der Eskalationskette aus Woche 6 durchgespielt. Das deckt Lücken auf, die auf dem Papier nicht sichtbar waren: eine veraltete Telefonnummer in der Eskalationskette, ein Restore, der länger dauert als angenommen. Die letzte Woche endet nicht mit „fertig“, sondern mit einer priorisierten Liste offener Punkte für Monat 4 und danach – etwa das vollständige Kryptografiekonzept oder ein tiefergehendes Lieferanten-Audit.

Was ein kleines Team realistisch selbst schafft – und wo Grenzen liegen

Dieser Plan ist bewusst so gebaut, dass er ohne externe Beratung funktioniert – die Vorlagen, Tabellen und Checklisten aus der vollständigen NIS2-Compliance-Checkliste decken die meisten Wochenaufgaben ab, ohne dass ein Berater eingekauft werden muss. Realistisch bleiben aber zwei Grenzen bestehen. Erstens: Ein 90-Tage-Sprint schafft ein solides Grundgerüst, aber keine vollständige, auditreife ISMS-Struktur – Themen wie ein umfassendes Kryptografiekonzept oder ein mehrstufiges Lieferanten-Auditprogramm brauchen typischerweise länger als drei Monate und profitieren von spezialisiertem Wissen. Zweitens: Wer bereits eine förmliche Prüfung oder eine konkrete Anfrage einer Aufsichtsbehörde vorliegen hat, sollte diesen Plan als Grundlage nutzen, aber zusätzlich rechtlichen Rat einholen – die Fristenlogik und die persönliche Haftung nach § 38 BSIG sind kein Bereich für Trial-and-Error.

Für den größeren Kontext – warum gerade jetzt so viele mittelständische Unternehmen erstmals betroffen sind und welche typischen Lücken dabei auftauchen – lohnt sich der Artikel NIS2 für den Mittelstand. Wer den vollständigen, nicht auf 90 Tage komprimierten Ablauf mit allen Details zu jeder der zehn Maßnahmen sehen möchte, findet ihn im ausführlichen NIS2-Umsetzungsleitfaden – dieser 90-Tage-Plan ist die komprimierte, wochengetaktete Variante davon für Teams, die diese Woche anfangen wollen, statt erst einen Berater zu suchen.

Häufige Fragen

Ist der 90-Tage-Zeitrahmen eine gesetzliche Frist?
Nein. Weder das BSIG noch die NIS2-Richtlinie schreiben einen 90-Tage-Zeitraum vor. Es handelt sich um einen praxiserprobten internen Zielrahmen, der die zehn Maßnahmenbereiche aus § 30 Absatz 2 BSIG in einer sinnvollen Reihenfolge abarbeitet. Gesetzliche Fristen wie die 24h/72h-Meldepflicht bei Vorfällen gelten davon unabhängig ab dem ersten Tag der Betroffenheit.

Was, wenn eine Woche nicht ausreicht, um das geplante Deliverable fertigzustellen?
Der Plan ist ein Rahmen, kein starres Diktat. Wichtiger als die exakte Wochenzahl ist die Reihenfolge – Bestandsaufnahme vor Maßnahmen, Maßnahmen vor Nachweisen. Eine Woche, die zwei Kalenderwochen braucht, ist unproblematisch, solange die nachfolgenden Wochen entsprechend nachrücken und keine Phase komplett übersprungen wird.

Reicht dieser Plan für eine besonders wichtige Einrichtung genauso wie für eine wichtige Einrichtung?
Die Struktur passt für beide Kategorien, weil § 30 Absatz 2 BSIG dieselben zehn Maßnahmenbereiche für beide vorschreibt. Der Unterschied liegt im Umsetzungsaufwand pro Maßnahme: Eine besonders wichtige Einrichtung mit mehreren Standorten wird pro Woche mehr Detailtiefe benötigen als ein einzelner 60-Personen-Betrieb.

Muss die Geschäftsführung während aller 13 Wochen aktiv mitarbeiten?
Nicht wöchentlich, aber an zwei Punkten zwingend: bei der Festlegung der Kategorie und Verantwortlichkeiten in Woche 1 und bei der formellen Freigabe der Maßnahmen in Woche 12. Dazwischen genügt eine kurze Zwischenmeldung, aber die Genehmigungs- und Überwachungspflicht selbst lässt sich nicht vollständig delegieren.

Was passiert nach Tag 90?
Der Plan endet nicht mit einem abgeschlossenen Zustand, sondern mit einer priorisierten Lückenliste für die nächsten Monate. NIS2-Compliance ist ein fortlaufender Prozess – Risikoanalysen, Lieferantenbewertungen und Schulungen müssen regelmäßig aktualisiert werden, nicht einmalig erstellt und dann liegen gelassen werden.

Kann ein Ein-Personen-IT-Team diesen Plan allein umsetzen?
Mit Unterstützung der Geschäftsführung bei den beiden genannten Freigabepunkten ist das möglich, aber anstrengend. Realistischer ist eine Aufteilung: IT übernimmt die technischen Wochen (5, 7, 8), die kaufmännische Leitung die Lieferanten- und Vertragswochen (3, 9), die Geschäftsführung die Freigabepunkte (1, 12) – so verteilt sich die Last auf drei statt eine Person.

Quellen

• [1] § 38 BSIG (Geschäftsleiterhaftung) — gesetze-im-internet.de
• [2] § 30 BSIG (Risikomanagementmaßnahmen) — gesetze-im-internet.de
• [3] § 65 BSIG (Bußgeldvorschriften) — gesetze-im-internet.de

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Sektor und Einzelfall abweichen. Konsultieren Sie für eine auf Ihr Unternehmen zugeschnittene Bewertung eine qualifizierte Rechts- oder Compliance-Fachkraft.