NIS2 Top-7 Quick Wins für KMU 2026

Die folgenden sieben Maßnahmen sind kein eigener Rechtsrahmen, sondern eine Priorisierung innerhalb der gesetzlichen Maßnahmenbereiche: In Deutschland zählt § 30 Abs. 2 BSIG zehn Bereiche auf, in Österreich führt § 32 Abs. 4 NISG 2026 den inhaltlich gleichlaufenden Katalog (lit. a bis j, gleiche Reihenfolge). Jeder Punkt nennt deshalb zuerst seine Fundstelle, dann die Umsetzung. Zur Einordnung: Die Aufwands- und Werkzeugangaben in der TL;DR und in den sieben Punkten (Personentage, Produktnamen) sind Praxis-Erfahrungswerte mit Stand 2. Mai 2026, keine Rechtsangaben und keine zugesicherten Ergebnisse; die Wirkungszeilen nennen den Maßnahmenbereich, auf den ein Punkt einzahlt.

Für wen die sieben Quick Wins Pflichtcharakter haben

Pflichtcharakter bekommen die sieben Punkte nicht als Formulierung, sondern über die gesetzlichen Maßnahmenbereiche, auf die sie einzahlen — und zwar, sobald Ihre Einrichtung einer Art nach Anlage 1 oder Anlage 2 zuzuordnen ist und die Größenschwellen erreicht (in Österreich ab dem Anwendungsbeginn 01.10.2026); Größe allein genügt nie. Die konkrete Ausgestaltung (etwa 3-2-1 oder ein Quartalstakt) gibt das Gesetz nicht vor. Ausgenommen von der Größenprüfung sind die größenunabhängig erfassten Arten (siehe unten); Einrichtungen der Bundesverwaltung erfasst § 29 BSIG gesondert.

Deutschland (§ 28 BSIG): Als besonders wichtige Einrichtung gilt eine sonstige Einrichtung einer in Anlage 1 bestimmten Art, die mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist (§ 28 Abs. 1). Als wichtige Einrichtung gilt eine Einrichtung einer in Anlage 1 oder Anlage 2 bestimmten Art mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR (§ 28 Abs. 2). Zwei Fallstricke: Der Umsatz allein genügt nie — § 28 Abs. 1 Nr. 4 Buchst. b verlangt Umsatz über 50 Mio. EUR und zusätzlich eine Bilanzsumme über 43 Mio. EUR; eigenständiges Kriterium ist nur die Mitarbeiterzahl ab 250. Und bei den wichtigen Einrichtungen gibt es keine Mitarbeiter-Obergrenze: Ein Unternehmen mit 5.000 Beschäftigten, das nur einer Anlage-2-Art zuzuordnen ist, bleibt wichtige Einrichtung. Größenunabhängig erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter.

Österreich (NISG 2026): Ein großes Unternehmen beschäftigt zumindest 250 Mitarbeiter oder erzielt einen Jahresumsatz über 50 Mio. EUR bei einer Jahresbilanzsumme über 43 Mio. EUR; ein mittleres Unternehmen zumindest 50 Mitarbeiter oder einen Jahresumsatz über 10 Mio. EUR bei einer Bilanzsumme über 10 Mio. EUR (§ 25 Abs. 2 und 3). Große Unternehmen der Anlage-1-Arten sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 3), Anlage-1- und Anlage-2-Arten mit großem oder mittlerem Unternehmen sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1). Für die Größenberechnung gilt in beiden Ländern die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG, § 25 NISG 2026).

1. MFA überall aktivieren

Multi-Faktor-Authentifizierung steht wörtlich im Gesetz: § 30 Abs. 2 Nr. 10 BSIG verlangt Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Kommunikation; in Österreich nennt der Mindestkatalog des § 32 Abs. 4 NISG 2026 die Multi-Faktor-Authentifizierung ebenfalls ausdrücklich (lit. j). Microsoft 365, Salesforce, AWS, Azure, alle Admin-Konten. Kosten: kostenlos (Authenticator-Apps) oder Hardware-Kosten je Nutzer für FIDO2-Keys.

Aufwand: 4-8 Stunden. Wirkung: zahlt direkt auf § 30 Abs. 2 Nr. 10 BSIG ein, der Multi-Faktor-Authentifizierung ausdrücklich nennt; Grundlage für die MFA-Policy als Nachweis.

Geltungsbereich: alle Admin-Konten und alle externen Zugänge (VPN, Cloud) — so beschreibt die BSI-Praxis den Regelfall. Praxisempfehlung: mit den Admin-Konten beginnen. Für die reine Mitarbeiter-Office-Nutzung ist eine abweichende Lösung risikobasiert begründbar, weil § 30 Abs. 1 BSIG geeignete, verhältnismäßige und wirksame Maßnahmen verlangt und die Umsetzungstiefe mit dem Risiko skaliert.

Nachweis: § 30 Abs. 1 BSIG verlangt zusätzlich, die Einhaltung zu dokumentieren. Praxisempfehlung: MFA-Policy mit Geltungsbereich, Liste der begründeten Ausnahmen und ein datierter Auszug aus dem Identity-System, der den Abdeckungsgrad je Kontenklasse zeigt.

2. Backup-3-2-1 + Immutable

Backup ist kein Nice-to-have, sondern Teil des Pflichtbereichs „Aufrechterhaltung des Betriebs“: § 30 Abs. 2 Nr. 3 BSIG nennt Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement in einem Zug; in Österreich steht der Bereich in § 32 Abs. 4 lit. c NISG 2026. 3 Kopien, 2 Medien, 1 offsite + Immutable gegen Ransomware. Veeam Hardened Repos, Object-Lock S3.

Aufwand: 2-3 Tage. Wirkung: eine unveränderbare Kopie als Ausgangspunkt der Wiederherstellung nach Ransomware; zahlt auf das Backup-Management nach § 30 Abs. 2 Nr. 3 BSIG ein.

Das Gesetz benennt Backup-Management, ohne ein konkretes Muster vorzugeben; 3-2-1 ist die gängige Praxisumsetzung („oder gleichwertig“). Zum Bereich gehören darüber hinaus drei Dokumente: ein Business-Continuity-Plan, der je Geschäftsprozess festlegt, wie lange er ausfallen darf (Recovery Time Objective, RTO) und wie viel Datenverlust hinnehmbar ist (Recovery Point Objective, RPO), ein Disaster-Recovery-Plan mit einer getesteten Wiederherstellungsroutine und ein Krisenmanagement-Plan samt interner und externer Kommunikation. Praxisempfehlung: Der Wiederherstellungstest ist der Beleg, nicht das Backup-Protokoll — dokumentieren Sie Datum, Umfang und die tatsächlich gemessene Wiederherstellungszeit; sie zeigt, ob die im Business-Continuity-Plan gesetzte RTO überhaupt erreichbar ist.

3. Patch-Zyklen dokumentieren

Patch- und Schwachstellenmanagement fällt unter die „Sicherheit beim Erwerb, Entwickeln und Warten“ — § 30 Abs. 2 Nr. 5 BSIG; die Richtlinie fasst diesen Bereich als sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement (Art. 21 Abs. 2 RL (EU) 2022/2555), in Österreich steht er in § 32 Abs. 4 NISG 2026 (lit. e). Kritisch <72h, hoch <1 Woche, mittel <1 Monat. Tools: WSUS, MS Defender, Tanium.

Aufwand: 1 Tag Setup. Wirkung: feste Einspielfristen je Kritikalität verkürzen das Verwundbarkeitsfenster; zahlt auf § 30 Abs. 2 Nr. 5 BSIG ein.

Wichtige Abgrenzung: Die 72 Stunden in dieser Zeile sind ein Praxis-Rhythmus für das Einspielen kritischer Patches. Sie haben nichts mit der gesetzlichen 72-Stunden-Meldefrist nach § 32 Abs. 1 Nr. 2 BSIG (AT: § 34 Abs. 2 Z 2 NISG 2026) zu tun — dazu Punkt 6 und die Fristen-Tabelle. Ergänzend gehört in diesen Bereich ein Schwachstellenmanagement-Prozess mit einer Vulnerability-Disclosure-Policy nach dem CVD-Prinzip (Coordinated Vulnerability Disclosure). Praxisempfehlung: Die Policy benennt eine veröffentlichte Meldeadresse, eine zugesagte Reaktionszeit und den Weg vom Eingang der Meldung bis zum Fix. Die Patch-Compliance-Rate ist zugleich einer der KPIs, mit denen sich die Wirksamkeitsbewertung belegen lässt (§ 30 Abs. 2 Nr. 6 BSIG, siehe letzte FAQ).

4. Phishing-Schulung + Tests

Schulung ist auf zwei Ebenen Pflicht: § 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik, § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitung persönlich zur regelmäßigen Teilnahme. Quartalsweise Phishing-Simulationen + verpflichtende E-Learning-Module. KnowBe4, Sosafe.

Aufwand: 2-4 PT/Jahr. Wirkung: macht die Klickrate messbar und liefert damit eine Kennzahl für die Wirksamkeitsbewertung; zahlt auf § 30 Abs. 2 Nr. 7 und § 38 Abs. 3 BSIG ein.

Österreich: Der Bereich steht in § 32 Abs. 4 lit. g NISG 2026; nach § 31 Abs. 2 NISG 2026 müssen die Leitungsorgane an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtungen haben ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Der geläufige Begriff „Cyberhygiene“ stammt nicht aus dem BSIG, sondern aus Art. 21 Abs. 2 Buchst. g der NIS-2-Richtlinie.

Praxisempfehlung — Rhythmen, keine Gesetzesfristen: Phishing-Simulation quartalsweise mit Click-Rate-Monitoring, Schulung aller Mitarbeitenden jährlich mit Quiz, Onboarding-Schulung neuer Beschäftigter in den ersten vier Wochen, sektorspezifische Vertiefung (etwa SCADA-Schulung in der Industrie). Warum diese Takte keine Gesetzesfristen sind, erläutert die FAQ am Ende des Artikels.

5. Lieferanten-Inventar erstellen

Lieferantensicherheit ist ein eigener Pflichtbereich — § 30 Abs. 2 Nr. 4 BSIG, in Österreich § 32 Abs. 4 lit. d NISG 2026. Dieser Bereich wird in der Auditpraxis erfahrungsgemäß häufig beanstandet (Praxiseinschätzung) — welche Befunde typisch sind, nennt die FAQ am Ende. Pro Lieferant: Kritikalität, AVV, ISO-27001-Status, letzter Audit. Top-20 priorisieren.

Aufwand: 3-5 PT initial. Wirkung: erster von vier praxisüblichen Inhalten des Bereichs Lieferkettensicherheit (§ 30 Abs. 2 Nr. 4 BSIG) — Grundlage für Risikoklassifizierung und Vertragsnachverhandlung.

Vier Inhalte gehören in den Bereich: eine Lieferanten-Bewertung mit Risikoklassifizierung, Cybersecurity-Klauseln in den Standardverträgen, ein Right-to-Audit für kritische Lieferanten und eine vertraglich zu vereinbarende Vorfallmeldung des Lieferanten an Sie — praxisüblich binnen höchstens 24 Stunden —, die Ihre eigene gesetzliche 24-Stunden-Frühwarnung überhaupt erreichbar hält. Praxisempfehlung zum Right-to-Audit: Prüfrecht, Ankündigungsfrist und Kostentragung ausdrücklich benennen.

AVV ist nicht dasselbe: Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO hat einen eigenen, datenschutzrechtlichen Mindestinhalt — Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen (Art. 28 Abs. 3 DSGVO). Die Cybersecurity-Anforderungen aus § 30 Abs. 2 Nr. 4 BSIG kommen zusätzlich hinzu.

6. Incident-Response-Plan + Tabletop

Der Incident-Response-Plan ist Pflichtbereich (§ 30 Abs. 2 Nr. 2 BSIG, AT: § 32 Abs. 4 lit. b NISG 2026) und zugleich die Voraussetzung dafür, die gesetzlichen Meldefristen überhaupt einhalten zu können. Krisenstab, Eskalation, Kommunikation. 1× jährlich Tabletop mit Krisenstab durchspielen.

Aufwand: 5 PT initial + 1 PT/Jahr. Wirkung: schafft die Voraussetzung, die Meldefristen des § 32 Abs. 1 BSIG einhalten zu können; zahlt auf § 30 Abs. 2 Nr. 2 BSIG ein.

Was der Plan abbilden muss: die Frühwarnung unverzüglich, spätestens 24 Stunden nach Kenntnis des Vorfalls — nicht ab Vorfallsbeginn —, die Meldung mit erster Bewertung binnen 72 Stunden und die Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 Abs. 1 Nr. 1, 2 und 4 BSIG; AT § 34 Abs. 2 Z 1, 2 und 4 NISG 2026). Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung. Adressat ist in Deutschland die gemeinsame Meldestelle von BSI und BBK, in Österreich das zuständige sektorspezifische CSIRT, ersatzweise das nationale CSIRT (§ 34 Abs. 1 NISG 2026).

Auslöser: meldepflichtig ist der erhebliche Sicherheitsvorfall — er hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann sie verursachen, oder er hat andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder kann sie beeinträchtigen (§ 2 Nr. 11 BSIG). In Österreich gilt derselbe Maßstab, dort mit „schwerwiegenden finanziellen Verlusten“ (§ 35 Abs. 1 NISG 2026).

Praxisempfehlung: jährliches Tabletop mit dem Krisenstab — besetzt aus Geschäftsleitung, IT-Betrieb, Informationssicherheit, Kommunikation und Recht — anhand eines konkreten Szenarios, etwa Ransomware mit Verschlüsselung der Fileserver am Freitagabend. Vorlegbar ist am Ende das Protokoll: Datum, Teilnehmer, Szenario, die simuliert erreichten Meldezeitpunkte, festgestellte Lücken und die daraus abgeleiteten Maßnahmen mit Verantwortlichem und Termin. Dazu eine rund um die Uhr erreichbare Meldekette — die 24-Stunden-Frist läuft ab Kenntnis, auch nachts und am Wochenende.

7. Asset-Inventory + Klassifikation

Das Asset-Inventar ist die Grundlage der Bereiche 1 und 9: Die Konzepte für Risikoanalyse und für die Sicherheit von Informationssystemen nach § 30 Abs. 2 Nr. 1 BSIG (AT: § 32 Abs. 4 lit. a NISG 2026) brauchen einen definierten Gegenstand, und das Berechtigungskonzept aus Bereich 9 (Personalsicherheit und Zugriffskontrolle, § 30 Abs. 2 Nr. 9 BSIG) setzt bekannte Systeme voraus. Hardware, Software, Daten, Cloud-Services. Tools: Lansweeper, Snipe-IT.

Aufwand: 5-10 PT initial. Wirkung: Voraussetzung für Risiko-Management.

Zweitnutzen Registrierung: Die Registrierung nach § 33 Abs. 1 BSIG verlangt unter anderem Name samt Rechtsform, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail, Telefonnummern und öffentlicher IP-Adressbereiche, den relevanten Sektor nach Anlage 1 oder 2 sowie die Liste der EU-Mitgliedstaaten mit Diensterbringung. Einen Teil dieser Angaben — insbesondere die öffentlichen IP-Adressbereiche und die technischen Kontaktdaten — liefert ein gepflegtes Inventar. Ändern sie sich, sind sie binnen zwei Wochen nachzumelden (Fristen-Tabelle).

Praxisempfehlung: Klassifikation nach Need-to-Know — je Asset eine Schutzstufe und ein benannter Owner, aus dem sich die Zugriffsrechte ableiten. Je Eintrag mindestens: Bezeichnung, Asset-Art (Hardware, Software, Daten, Cloud-Service), Standort beziehungsweise Betreiber, Owner, Schutzstufe, Abhängigkeit vom Geschäftsprozess — das verbindet das Inventar mit RTO und RPO aus Punkt 2 — und bei extern betriebenen Assets der zugehörige Lieferant aus Punkt 5. Die Schutzstufe bestimmt, welche Zugriffsrechte aus Bereich 9 vergeben werden; extern erreichbare Assets sind zugleich der Geltungsbereich der MFA-Policy aus Punkt 1. Dazu ein Onboarding- und Offboarding-Workflow und eine regelmäßige Überprüfung der Berechtigungen: derselbe Datenbestand, nur aus der Perspektive von Bereich 9.

Welcher Quick Win auf welchen Maßnahmenbereich einzahlt

Die sieben Punkte berühren acht der zehn gesetzlichen Maßnahmenbereiche; welche zwei Bereiche offen bleiben, nennt die FAQ „Reicht das für NIS2-Compliance?“ am Ende. Die Tabelle ordnet zu, auf welchen Bereich ein Quick Win einzahlt; wie tief die Umsetzung reichen muss, richtet sich nach dem risikobasierten Maßstab des § 30 Abs. 1 BSIG bzw. § 32 Abs. 1 NISG 2026.

Für Quick Win 1, Quick Win 3 und die Zugriffskontrolle in Quick Win 7 ergibt sich die lit. aus der gleichen Reihenfolge des Katalogs (§ 32 Abs. 4 NISG 2026 zu § 30 Abs. 2 BSIG); die übrigen sind in den Fundstellen ausdrücklich zugeordnet.

Reihenfolge nach Abhängigkeit: Punkt 1 und 2 zuerst — beide sind wörtlich im Katalog benannt und sofort belegbar. Danach Punkt 7, weil Risikoanalyse (Bereich 1) und Berechtigungskonzept (Bereich 9) einen definierten Gegenstand voraussetzen und weil ein Teil der Registrierungsangaben nach § 33 Abs. 1 BSIG — die öffentlichen IP-Adressbereiche und die technischen Kontaktdaten — aus demselben Inventar kommt. Punkt 6 vor jeder Meldepflicht-Situation, weil die 24-Stunden-Frist ab Kenntnis läuft und ohne Meldekette nicht einhaltbar ist. Punkt 3 und 4 laufend, Punkt 5 zuletzt, aber nicht später — er wird in der Auditpraxis erfahrungsgemäß häufig beanstandet (Praxiseinschätzung, siehe FAQ am Ende). Das ist eine Praxisempfehlung, keine gesetzliche Reihenfolge.

Was das an Aufwand bedeutet: Rechnet man die Initialaufwände der Punkte 1, 2, 3, 5, 6 und 7 zusammen — Punkt 1 mit rund einem Personentag für die genannten 4 bis 8 Stunden —, ergeben sich rund 17 bis 25 Personentage. Laufend kommen Punkt 4 mit 2 bis 4 Personentagen pro Jahr und Punkt 6 mit 1 Personentag pro Jahr hinzu. Diese Summe deckt nur die technische Umsetzung ab. Nicht enthalten ist die Dokumentation: § 30 Abs. 1 BSIG verlangt, die Einhaltung zu dokumentieren. Aus den Maßnahmenbereichen selbst folgen Business-Continuity-, Disaster-Recovery- und Krisenmanagement-Plan (§ 30 Abs. 2 Nr. 3 BSIG), der Schwachstellenmanagement-Prozess (Nr. 5) und die Lieferanten-Klauseln (Nr. 4); Vulnerability-Disclosure-Policy, MFA-Policy und Tabletop-Protokoll sind die oben genannten Praxisempfehlungen. Rechnen Sie den Dokumentationsaufwand für die Budgetplanung zusätzlich zu den 17 bis 25 Personentagen ein (Praxisempfehlung).

Welche Fristen neben den Quick Wins laufen

Die Quick Wins haben keinen eigenen Stichtag — die Termine kommen aus Registrierung, Meldung und Nachweis. Alle Angaben dieser Tabelle sind gesetzliche Fristen und Termine; Praxis-Rhythmen sind an den übrigen Stellen dieses Artikels ausdrücklich als Praxisempfehlung gekennzeichnet.

Was ein Versäumnis bei den sieben Punkten kostet

Sanktioniert wird nicht der fehlende Quick Win, sondern der Verstoß gegen die Risikomanagement-Pflicht (§ 30 BSIG, § 32 NISG 2026) und gegen die Meldepflicht (§ 32 BSIG, § 34 NISG 2026).

Deutschland: Das BSI setzt als zuständige Verwaltungsbehörde den Bußgeldrahmen des § 65 Abs. 5 bis 7 BSIG durch — bis 10 Mio. EUR gegen besonders wichtige, bis 7 Mio. EUR gegen wichtige Einrichtungen. Die Umsatzvariante von 2 % bzw. 1,4 % greift abweichend erst bei einem Gesamtumsatz über 500 Mio. EUR und nur für die dort bezeichneten Verstöße; Gesamtumsatz ist die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein Bußgeld nach der DSGVO verhängt, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG) — praktisch relevant genau in dem Ransomware-Fall, der beide Meldewege auslöst.

Österreich: Die Verwaltungsstrafe verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1 NISG 2026); die Cybersicherheitsbehörde zeigt den Verdacht einer Verwaltungsübertretung an und bleibt Aufsichtsbehörde. Die Strafrahmen des § 45 Abs. 2 und 3 NISG 2026 gelten ab dem Anwendungsbeginn am 01.10.2026: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche, bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen — je nachdem, welcher Betrag höher ist. Sonstige Übertretungen sind mit bis zu 50.000 EUR, im Wiederholungsfall bis zu 100.000 EUR bedroht (§ 45 Abs. 4 NISG 2026).

Geschäftsleitung: Neben der Geldbuße gegen die Einrichtung steht in Deutschland die Innenhaftung nach § 38 Abs. 2 BSIG — Haftung gegenüber der eigenen Einrichtung nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts; Einzelheiten im verlinkten Artikel zur GF-Haftung. Das NISG 2026 enthält in § 31 keine ausdrückliche Innenhaftungs-Regel analog § 38 Abs. 2 BSIG.