Jede Branche hat ihre eigenen Stolpersteine. Wir kennen sie, weil wir sie in der Region täglich sehen.
- ProduktionMaschinennetze trennen, Hallen-WLAN, Wiederanlauf
- LogistikScanner, mehrere Standorte, Erreichbarkeit
- HandelKassensysteme, Filialen, Shop-Anbindung
- ArztpraxenVertraulichkeit belegen, Praxissoftware, TI
- KanzleienRechtssichere Archivierung, Mandantentrennung
- Kommunen & StadtwerkeNIS2, Netztrennung, Nachweise für die Aufsicht
- DienstleisterMobiles Arbeiten, Cloud, Zusammenarbeit
Eigene Leute an drei Standorten in Mittelfranken – deshalb können wir im Notfall denselben Tag zusagen.
Hand in Hand
Alles rund um Ihre IT – aus einer Hand
Von der Leitung im Serverraum bis zur KI im Arbeitsalltag: zwölf Bereiche, für jeden davon eigene Spezialisten. Was BES nicht selbst macht, übernimmt ein Haus der L&S Unternehmensgruppe – abgestimmt, nicht weitergereicht.
NIS2
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet deutlich mehr Unternehmen als bisher zu nachweisbaren Maßnahmen für die IT-Sicherheit.
Was ist NIS2?
NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie, die in Deutschland über ein nationales Umsetzungsgesetz in Kraft tritt. Sie legt fest, welche Unternehmen und Einrichtungen Mindestanforderungen an ihre IT-Sicherheit erfüllen, Vorfälle melden und die Geschäftsführung in die Verantwortung nehmen müssen.
Betroffen sind Betreiber „wesentlicher“ und „wichtiger“ Einrichtungen in 18 Sektoren – von Energie, Wasser und Gesundheit bis zu Abfallwirtschaft, Lebensmittelherstellung, Maschinenbau und digitalen Diensten. Ob ein Unternehmen unter die Regelung fällt, hängt in der Regel von Sektor, Mitarbeiterzahl und Umsatz ab. Die genauen Schwellenwerte stehen im BSIG in der Fassung des NIS2-Umsetzungsgesetzes, das am 6. Dezember 2025 in Kraft getreten ist; die Frist zur Erstregistrierung beim BSI lief am 6. März 2026 ab.
Warum NIS2 den Mittelstand in Mittelfranken betrifft
Viele Geschäftsführer gehen davon aus, dass NIS2 nur Konzerne und Stadtwerke betrifft. Tatsächlich rutschen mittelständische Betriebe ab etwa 50 Mitarbeitenden oder 10 Millionen Euro Umsatz in den relevanten Sektoren in den Anwendungsbereich. Hinzu kommt die Lieferkette: Wer Zulieferer eines betroffenen Unternehmens ist, bekommt die Anforderungen häufig vertraglich weitergereicht – ohne selbst direkt reguliert zu sein.
Die Pflichten sind konkret: Risikomanagement, Umgang mit Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Schulung der Mitarbeitenden, Zugriffskontrolle und Mehrfaktor-Authentifizierung. Vorfälle müssen innerhalb kurzer Fristen gemeldet werden. Die Geschäftsführung haftet für die Umsetzung und muss sich nachweislich schulen lassen. Bei Verstößen drohen empfindliche Bußgelder.
Was passiert, wenn nicht? Neben Sanktionen riskieren Sie, als Lieferant aus Ausschreibungen zu fallen, weil Kunden den Nachweis verlangen. Und Cyber-Versicherer orientieren sich zunehmend an denselben Maßnahmen.
Was BES daraus macht
BES Systemhaus begleitet Unternehmen aus Schwabach, Nürnberg und der Region bei der NIS2-Umsetzung – von der Betroffenheitsanalyse über die Lückenbewertung bis zur technischen Umsetzung mit Managed Firewall, Endpoint-Schutz, MFA und Netzsegmentierung. Wir betreuen bereits KRITIS- und NIS2-pflichtige Kunden wie Stadtwerke und Entsorger und wissen, welche Nachweise Prüfer erwarten. Alle Details finden Sie unter NIS2-Beratung; das Notfallmanagement decken wir mit dem IT-Notfallplan ab. Wer weiter gehen möchte, kann die Maßnahmen in ein ISMS nach ISO 27001 überführen.
Hinweis: Dieser Beitrag ist keine Rechtsberatung. Die rechtliche Einordnung Ihres Unternehmens sollten Sie mit einem Juristen klären.
Häufige Fragen
Wie finde ich heraus, ob mein Unternehmen unter NIS2 fällt?
Prüfen Sie Sektor, Mitarbeiterzahl und Umsatz gegen die Kriterien des Umsetzungsgesetzes. BES bietet dazu eine strukturierte Betroffenheitsanalyse an – auch für Zulieferer, die indirekt betroffen sind.
Reicht eine gute Firewall für NIS2 aus?
Nein. NIS2 verlangt ein Bündel aus organisatorischen und technischen Maßnahmen: Risikomanagement, Meldeprozesse, Backup, Schulungen und Zugriffskontrolle. Technik ist nur ein Teil.
Was hat die Geschäftsführung konkret zu tun?
Sie muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und sich selbst regelmäßig zur Cybersicherheit schulen lassen. Diese Verantwortung lässt sich nicht vollständig delegieren.