NIS2-Audit 2026: Top-10 Findings aus Hamburger Mittelstands-Audits

Anderthalb Jahre nach Inkrafttreten des NIS2-Umsetzungsgesetzes haben wir in Hamburg und Norddeutschland über 30 Mittelständler durch erste Audits begleitet — als externer IT-Dienstleister, nicht als Auditor selbst. Aus dieser Praxis kristallisieren sich zehn Findings heraus, die in fast jedem Erstaudit auftauchen. Die Reihenfolge ist nicht zufällig: Die ersten drei sind die, an denen es am häufigsten scheitert. Die letzten drei sind die, die im Ernstfall am teuersten werden, wenn sie fehlen. Dieser Artikel ist die operative Ergänzung zum Pillar NIS2-Beratung Hamburg — Grundlagen und Sektoren stehen dort, hier geht es darum, was Auditoren wirklich prüfen.

Inhalt in Kürze

• Top-3 Findings: Asset-Inventar, Risikobewertung, Lieferketten — diese drei fehlen oder sind unwirksam in fast jedem Hamburger Erstaudit
• MFA-Lücken auf privilegierten Konten sind das häufigste technische Finding — Dienstkonten, Notfall-Logins, externe Wartungszugänge
• Backup-Restore-Tests werden in 6 von 10 Fällen nicht regelmäßig gemacht — Auditoren bestehen auf Live-Demos
• Incident-Response-Plan und Tabletop-Übung sind die teuersten Lücken, weil sie im Ernstfall den Schaden vervielfachen
• Lieferantenverträge ohne NIS2-Klauseln fliegen bei jedem zweiten Audit auf — Standardverträge reichen nicht
• Fix-Reihenfolge: Erst Inventar und Risikobewertung, dann technische Maßnahmen, dann Übungen und Verträge — nicht umgekehrt

In Hamburg sehen wir 2026 zwei klar getrennte Mandantengruppen: Die einen haben Anfang 2025 mit der Umsetzung begonnen, sind durch ihre Erst- und Nachprüfungs-Audits durch und arbeiten an der laufenden Pflege. Die anderen haben gewartet — auf Klärung der Behördenzuständigkeit, auf praktikable Vorlagen, auf den ersten echten Bußgeldfall — und sind im Mai 2026 mit dem ersten Schreiben einer Aufsichtsbehörde im Postfach. Die Findings sind bei beiden Gruppen sehr ähnlich. Der Unterschied liegt im Tempo, mit dem sie behoben werden müssen.

Finding 1: Unvollständiges Asset-Inventar

Das mit Abstand häufigste Finding. Bei rund 9 von 10 Hamburger Mittelständlern fehlen Asset-Klassen oder das Inventar ist über sechs Monate alt. Typische Lücken:

• Cloud-Dienste mit Personal- oder Kundendaten: Slack, Trello, Notion, Miro, Google Workspace neben Microsoft 365, Dropbox-Reste aus früheren Jahren — alles, was per Web-Login arbeitet und im klassischen On-Premise-Inventar nicht auftaucht.
• Schatten-IT in Fachbereichen: Marketing hat Canva, HR hat Personio, Buchhaltung hat ein eigenes DATEV-Cloud-Tool, Vertrieb nutzt HubSpot. Wer das nicht zentral inventarisiert, hat einen erheblichen Toten Winkel.
• Mobile Endgeräte ohne MDM: Private Geräte mit Firmen-Mail (BYOD), Geräte ehemaliger Mitarbeiter, deren Konto-Sperrung nicht durchgezogen wurde.
• IoT- und Peripherie-Geräte: Multifunktionsdrucker, Konferenzraum-Hardware (Logitech Rally, Cisco-Webcams), Smart-Home-artige Geräte in modernen Büros.
• Test- und Demo-Umgebungen: Server für interne Tests, alte Maschinen, die noch laufen, weil eine Legacy-Anwendung darauf liegt.

Wir bauen das in Hamburger Mandaten in einer einfachen Tabelle auf: Asset-Klasse, Name, Verantwortlicher, Standort, Datenkategorien, Schutzbedarf nach BSI-Grundschutz, letzte Prüfung. Pflege monatlich oder quartalsweise, Vollerhebung einmal pro Jahr. Tools wie Lansweeper, ManageEngine AssetExplorer oder die Inventar-Funktion in N-able Cove erleichtern die technische Erfassung — die organisatorische Pflege bleibt aber Handarbeit.

Finding 2: Risikobewertung fehlt oder ist veraltet

§ 30 NIS2-Umsetzungsgesetz fordert ein dokumentiertes Risikomanagementkonzept. Was Auditoren bei 7 von 10 Hamburger Mittelständlern finden, ist eine Liste von Risiken aus einem Beratungsprojekt von 2022, ohne aktuelle Bewertung, ohne klare Methodik, ohne dokumentierte Verantwortung. Das gilt als „nicht wirksam” und führt zum Finding. Eine gute Vorlage für die Begründung des Risikoappetits liefert der BSI-Lagebericht zur IT-Sicherheit in Deutschland — die Bedrohungszahlen darin sind im Audit unstrittig.

Was Auditoren erwarten:

1. Methode dokumentieren: BSI-Grundschutz, ISO 27005 oder eine andere etablierte Methode. Eigene Methoden sind möglich, brauchen aber Begründung.
2. Risiken systematisch erheben: Pro Asset-Klasse oder Geschäftsprozess. Bedrohungen, Schwachstellen, mögliche Schäden, Eintrittswahrscheinlichkeit, Schutzbedarf.
3. Bewertung mit Datum und Verantwortlichem: Wer hat wann was bewertet? Geschäftsführung muss zustimmen.
4. Maßnahmen ableiten: Pro Risiko mindestens eine Maßnahme — vermeiden, mindern, übertragen, akzeptieren. Mit Verantwortlichem und Termin.
5. Mindestens jährliche Review: Mit Datum, mit Geschäftsführer-Sign-Off. Bei wesentlichen Änderungen (neuer Sektor, neue IT, neuer Standort) anlasslos.

Wer NIS2-Risikobewertung mit der DSGVO-Folgenabschätzung und der Cyber-Risiko-Analyse für den Mittelstand zusammenführt, spart Doppelarbeit. Die Methode ist dieselbe, die Risikoarten und Bewertungsraster überschneiden sich zu 70 bis 80 Prozent.

Finding 3: Lieferketten-NIS2 nicht adressiert

Die Lieferketten-Pflicht aus § 30 ist das Finding, das die meisten Hamburger Geschäftsführer überrascht. „Wir sind doch nicht NIS2-pflichtig — warum sollen wir unsere Lieferanten bewerten?” Antwort: Sie sind zwar als Lieferant nicht direkt pflichtig, aber sobald Ihre Kunden regulierte Einrichtungen sind, geben sie die NIS2-Pflichten vertraglich an Sie weiter. Und Sie selbst müssen Ihre eigenen IT-Dienstleister, Cloud-Anbieter und Wartungspartner ebenso einbinden — die sind Ihre „unmittelbaren Diensteanbieter” im Sinne des Gesetzes.

Drei Dinge fehlen bei 8 von 10 Hamburger Erstaudits:

• Lieferantenliste mit Risikoklassifizierung: Welche Dienstleister haben Zugriff auf welche Systeme, mit welchem Schutzbedarf? Hoch-, mittel-, niedrigkritisch — bei den hochkritischen müssen die Verträge stehen.
• NIS2-Klauseln im Vertrag: 24-Stunden-Erstmeldung des Dienstleisters bei Sicherheitsvorfällen, Audit-Recht des Auftraggebers, konkrete Sicherheitsanforderungen.
• Nachweis der Sub-Dienstleister-Sicherheit: Wer hat als Sub-Auftrag wieder Subdienstleister? Welche Sicherheitsmaßnahmen treffen die? Kette nachvollziehbar dokumentieren.

Wir hatten Anfang 2026 einen Maschinenbauer in Hamburg-Bergedorf, der seit acht Jahren mit demselben IT-Dienstleister arbeitet. Vertrag aus 2018, sechs Seiten, drei davon AGB. Kein Wort zu Meldepflichten, kein Wort zu Sicherheitsanforderungen, kein Audit-Recht. Wir haben das in vier Wochen neu verhandelt — und der Dienstleister war eigentlich froh, dass jemand das endlich anpackt.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Hilfsmittel: ENISA-Best-Practices zur Lieferketten-Sicherheit sind kostenlos und praxisnah. Wer Standardverträge mit großen Cloud-Anbietern hat (Microsoft, AWS, Google), prüft, ob die Standard-AVV und Sicherheits-Annexe NIS2-Anforderungen erfüllen — meist ja, aber Ergänzungen können nötig sein. Was ein vollständiger Auftragsverarbeitungsvertrag mit diesen Dienstleistern enthalten muss, lesen Sie in AVV mit dem IT-Dienstleister.

Finding 4: MFA-Lücken auf privilegierten Konten

MFA ist beim Erstadmin und beim normalen Microsoft-365-Login bei den meisten Hamburger Mittelständlern aktiv. Was fehlt, sind die privilegierten Sonderkonten — und genau diese sind das Hauptziel von Angriffen.

• Service Accounts (Dienstkonten in Active Directory, Cloud-Service-Accounts) — laufen oft mit Passwort allein, weil MFA technisch komplizierter ist.
• Notfall-Logins („Break-Glass-Accounts") — sind oft bewusst ohne MFA, damit im Krisenfall jemand reinkommt. Müssen aber zusätzlich abgesichert sein, etwa über Hardware-Tokens in versiegeltem Umschlag.
• Externe Wartungszugänge — IT-Dienstleister, Software-Anbieter, Wartungs-Partner haben oft VPN-Logins ohne MFA, weil „die kennen wir ja".
• Privilegierte Konten in Drittsystemen — DATEV, SAP, ERP, branchenspezifische Software haben oft eigene Authentifizierung, MFA dort separat einrichten.
• API-Zugänge und Service-Tokens — sollten rotiert und überwacht, idealerweise mit Identitätsmanagement-Lösung gemanagt werden.

SMS-basierte MFA gilt nach BSI-Empfehlungen seit 2024 nicht mehr als ausreichend — App-basierte Verfahren oder FIDO2-Hardware-Tokens sind Stand der Technik. Mehr dazu im verwandten Cluster MFA-Level-Up — warum SMS-Codes 2026 fahrlässig sind.

Finding 5: Backup-Restore-Tests fehlen

Backups laufen bei rund 9 von 10 Hamburger Mittelständlern — getestet werden sie bei rund 4 von 10. Auditoren bestehen mittlerweile auf einer Live-Demo. „Stellen Sie diese E-Mail aus dem Backup von vor zwei Monaten wieder her, jetzt.” Wir haben Fälle erlebt, wo der Restore an einer fehlenden Lizenz scheiterte, an einer Backup-Datei, die sich nicht entschlüsseln ließ, an einem nicht dokumentierten Prozess für ein einzelnes Postfach. Im Audit ist das ein automatisches Finding.

Unsere Praxis-Empfehlung: vier dokumentierte Restore-Tests pro Jahr.

1. Q1 — Komplett-Server-Restore in einer Testumgebung. Dauer: rund 4 Stunden. Dokumentiert mit Datum, Verantwortlichem, Ergebnis.
2. Q2 — Einzelne Datei aus älterem Backup (z.B. 90 Tage alt). Prüft, ob die Aufbewahrungsfrist wirklich funktioniert.
3. Q3 — Microsoft-365-Postfach-Restore aus dem M365-Backup-Tool. Häufige Lücke, weil viele KMU kein dediziertes M365-Backup haben — Microsoft selbst archiviert nicht hinreichend lang.
4. Q4 — Cloud-Speicher-Restore (SharePoint, OneDrive, OneNote). Schließt typische Schatten-Backups aus.

Mehr zur Praxis in unserem Cluster-Beitrag Backup für Unternehmen — der Guide.

Finding 6: Incident-Response-Plan nicht dokumentiert

Bei 5 von 10 Hamburger Erstaudits gibt es schlicht keinen schriftlichen Plan. Bei den anderen 5 fehlt typisch eines von drei Elementen. Die formellen Meldewege beim BSI-Meldeportal für Sicherheitsvorfälle sollten in jedem Plan namentlich verlinkt sein:

Wir schreiben für Hamburger Mandanten einen 4-Seiten-Plan, der im Ernstfall wirklich gelesen wird — keine 80-Seiten-Konvolute. Die Vorlage orientiert sich am BSI IT-Grundschutz-Baustein DER.2.1 (Behandlung von Sicherheitsvorfällen). Anschlussthema: Krisenkommunikation bei IT-Vorfällen.

Finding 7: Patch-Management nicht dokumentiert

Patches laufen in der Praxis bei den meisten Hamburger Mittelständlern — die Dokumentation fehlt. Auditoren prüfen drei Ebenen: schriftliche Policy, Stichproben aus dem Patch-Tool, dokumentierte Ausnahmen. Standard-Erwartung: kritische Sicherheits-Patches innerhalb 14 Tagen, normale Patches im Monatsrhythmus, dokumentierte Ausnahmen mit Risikobewertung.

Was wir in Hamburger Mandaten einführen: monatlicher Patch-Report aus dem RMM-Tool, automatisch generiert, mit Compliance-Rate (z.B. „97 % der Endgeräte aktueller Patchstand”, „2 Server außerhalb des Standards mit Begründung”). Aufbewahrungsfrist mindestens 12 Monate.

Finding 8: Awareness-Schulungen ohne Wirksamkeitsmessung

Schulungen laufen bei rund 7 von 10 Hamburger Mittelständlern — Wirksamkeit gemessen wird bei rund 2 von 10. Die Bitkom-Studie Wirtschaftsschutz 2025 zeigt: Wer Awareness-Schulungen mit Phishing-Simulation kombiniert, senkt Click-Raten in 12 Monaten um den Faktor 4. Auditoren erwarten:

• Jährliche Pflichtschulung für alle Mitarbeiter (Phishing, Social Engineering, Passwort-Hygiene)
• Zielgruppenspezifische Vertiefung für Risiko-Rollen (Geschäftsführung, Finanzbuchhaltung, HR, IT-Admins)
• Wirksamkeitsmessung über Phishing-Simulationen mit Click-Rate-Tracking — empfohlen alle 8 bis 12 Wochen
• Dokumentation mit Teilnehmerliste, Inhalt, Datum, Click-Rate, Trend über Zeit

Verwandtes Tool aus unserer Empfehlung: Securepoint Awareness Plus.

Finding 9: Lieferantenverträge ohne NIS2-Klauseln

Wiederkehrendes Thema, hier auf der Vertragsebene gespiegelt: 8 von 10 Hamburger Verträge mit IT-Dienstleistern sind aus der Zeit vor NIS2 und enthalten keine Sicherheits- und Meldeklauseln. Die drei Klauseln, die fast immer fehlen:

• 24-Stunden-Erstmeldepflicht des Dienstleisters bei Sicherheitsvorfällen — synchron zur BSI-Meldepflicht.
• Audit-Recht des Auftraggebers — nicht durch Standard-AGB wegverhandelt, mit klar definierter Tiefe (Selbstauskunft, Vor-Ort-Audit, Auditbericht eines Dritten).
• Konkrete Sicherheitsanforderungen — Verschlüsselung, Backup, Zugriffsmanagement, Personalsicherheit beim Dienstleister, dokumentierte Mindeststandards.

Bei großen Cloud-Anbietern lassen sich die Klauseln über AVV-Annexe und Sicherheits-Add-ons abdecken. Bei mittelgroßen Hamburger IT-Dienstleistern reicht meist ein Vertragsnachtrag mit zwei Seiten. Bei kleinen Wartungs-Partnern (Drucker, Klima, Türsysteme) sind die Klauseln neu zu verhandeln — viele Anbieter haben keine Standardvorlage und sind kooperativ, wenn der Auftraggeber den ersten Entwurf liefert.

Finding 10: Notfallübungen nie durchgeführt

Das teuerste Finding, weil es im Ernstfall den Schaden vervielfacht. Ein Plan, den niemand geübt hat, ist im Krisenfall ein Plan, den niemand findet. Bei 9 von 10 Hamburger Erstaudits fehlt eine dokumentierte Tabletop-Übung in den letzten 12 Monaten.

Was eine wirksame Übung enthält:

1. Realistisches Szenario: „Heute Morgen sind alle Microsoft-365-Postfächer verschlüsselt — was tun?" Oder: „Wir bekommen einen Anruf, dass unser Hauptdienstleister gehackt wurde und Daten von uns betroffen sind."
2. Teilnehmer aus allen relevanten Bereichen: Geschäftsführung, IT, Datenschutz, Kommunikation, Personal, Finanzen. Externe Berater optional.
3. Strukturierter Ablauf: 2 bis 3 Stunden, mit Moderator, Zeitachse, Eskalationsstufen, Entscheidungspunkten.
4. Dokumentierter Übungsbericht: Was hat funktioniert? Was hat gefehlt? Welche Aktualisierung des Plans ist nötig? Mit Aktionsliste und Verantwortlichen.

Wirkungsvolle Übungen kosten weniger als 5.000 Euro netto und ersparen sechsstellige Schäden. Wir bieten das in Hamburger Mandaten als jährlichen Festpreis-Baustein an, oft kombiniert mit der Krisenkommunikations-Schulung der Geschäftsführung.

Aus der Praxis — wie ein typischer Hamburger Audit-Tag abläuft

Wir haben Anfang 2026 einen Hamburger Logistiker mit 80 Mitarbeitern in seinen Erstaudit begleitet. Ein Tag, drei Auditoren des beauftragten Prüfdienstleisters, Geschäftsführung und IT-Leitung den ganzen Tag dabei. Vormittag: Asset-Inventar-Stichproben, Risikobewertung-Review, Lieferantenliste-Prüfung. Nachmittag: technische Stichproben (MFA, Patch-Stand, Backup-Restore-Live-Demo), Incident-Response-Plan-Walkthrough, Lieferantenvertrags-Prüfung. Spätnachmittag: Gespräch mit der Geschäftsführung zum NIS2-Verständnis, Schulungsnachweise.

Findings am Ende des Tages: 7 von 10 Punkten aus unserer Liste. Asset-Inventar war ok (wir hatten es im Vorlauf aufgebaut), Risikobewertung war aktuell, Backup-Restore funktionierte. Findings: Lieferantenverträge (3 von 4 IT-Dienstleistern ohne NIS2-Klauseln), MFA-Lücken bei zwei Service-Accounts, kein Patch-Report, keine Tabletop-Übung dokumentiert, Awareness-Schulung ohne Click-Rate-Tracking, Incident-Response-Plan-Walkthrough zeigte fehlende Eskalations-Telefonnummern bei der Geschäftsführung außerhalb der Bürozeit, Notfallübung fehlt.

Sechs Wochen Nachbesserung, rund 8.000 Euro externer Aufwand, fertig. Das ist die realistische Größenordnung — vorausgesetzt, man hat den Audit nicht völlig kalt erwischt, sondern war einigermaßen vorbereitet.

Reihenfolge der Behebung — was zuerst?

Aus unserer Praxis hat sich diese Reihenfolge bewährt:

1. Wochen 1–4: Asset-Inventar vervollständigen, Risikobewertung methodisch sauber aufsetzen, Lieferantenliste mit Risikoklassifizierung erstellen. Das Fundament, ohne das alles andere wackelt.
2. Wochen 5–8: MFA-Lücken schließen, Backup-Restore-Tests planen und durchführen, Patch-Management-Reporting aufsetzen. Die technischen Maßnahmen.
3. Wochen 9–12: Incident-Response-Plan schreiben, Lieferantenverträge nachverhandeln, Awareness-Konzept mit Wirksamkeitsmessung aufsetzen. Die organisatorischen Maßnahmen.
4. Wochen 13–14: Tabletop-Übung durchführen, Dokumentation für das Audit konsolidieren, Nachprüfungs-Vorbereitung.

Realistisch sind das 14 Wochen mit rund 8 bis 15 Stunden externem Aufwand pro Woche und vergleichbarem internen Aufwand. Kosten: 25.000 bis 50.000 Euro netto für ein Hamburger KMU mit 50 bis 100 Mitarbeitern, inklusive Toolkosten und Schulungen.

Häufige Einwände — und unsere Antworten

„Wir sind doch nicht direkt NIS2-pflichtig — gilt das für uns?” Indirekt fast immer. Wenn Ihre Kunden NIS2-pflichtig sind, geben sie die Pflichten vertraglich an Sie weiter. Wer als Hamburger Lieferant in regulierten Branchen unterwegs ist, bekommt 2026 NIS2-Fragebögen.

„Wir haben den ISO-27001-Aufbau gemacht — reicht das?” Zu großen Teilen ja. ISO 27001 deckt die NIS2-Pflichten zu rund 80 Prozent ab. Die Lücken liegen bei den NIS2-spezifischen Meldepflichten, der Geschäftsführungs-Haftung und der konkreten Lieferketten-Klauselgestaltung — alles in vier bis sechs Wochen ergänzbar.

„Wir hatten noch nie einen Sicherheitsvorfall — warum sollen wir das alles machen?” Weil das BSI bei Stichproben nicht auf Vorfälle wartet. Und weil die Geschäftsführung im Vorfall persönlich haftet, wenn die Pflichten vorher nicht erfüllt waren.

Ihr nächster Schritt

Die zehn Findings sind kein Einzelfall, sondern die Realität in fast jedem Hamburger Mittelstands-Audit 2026. Wer sie kennt, kann sie strukturiert abräumen — die Reihenfolge ist klar, der Aufwand ist überschaubar, die Kosten sind planbar. Wer sie ignoriert, riskiert nicht nur Bußgelder bis 10 Millionen Euro oder 2 Prozent vom Jahresumsatz, sondern auch persönliche Geschäftsführungs-Haftung.

Wir machen das bei Hamburger Mandanten als Teil unserer NIS2 & Compliance-Beratung — von der Erstanalyse bis zur Audit-Begleitung im Festpreis. Wer einen einzigen IT-Partner für Cybersecurity, Compliance und laufendes Managed IT sucht, findet bei uns alles aus einer Hand. Wer parallel den Cluster NIS2-Praxis nach 12 Monaten liest, bekommt zusätzlich den strategischen Überblick.

Das nächste Audit-Schreiben einer Hamburger Aufsichtsbehörde kommt — die Frage ist nur, in welchem Quartal Ihr Unternehmen drankommt. Bis dahin können Sie die zehn Findings entweder vorher beheben oder hinterher mit Nachprüfungs-Frist nacharbeiten. Vorher ist deutlich entspannter.