NIS2-Beratung für den Mittelstand: Wer ist betroffen, was ist zu tun – und wie Sie es nachweisen

Was ist NIS2 – und warum betrifft es den Mittelstand?

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen aus 18 Sektoren, ein Mindestniveau an Cybersicherheit einzuhalten, Vorfälle zu melden und die Umsetzung nachzuweisen. In Deutschland wird sie durch das NIS2-Umsetzungsgesetz und die Änderungen im BSI-Gesetz (BSIG) verbindlich. Anders als die erste NIS-Richtlinie trifft NIS2 nicht mehr nur Konzerne und Betreiber kritischer Anlagen, sondern auch mittelständische Unternehmen ab 50 Mitarbeitenden – und über die Lieferkette auch deutlich kleinere.

Für Geschäftsführer in Mittelfranken heißt das: Die Frage „Sind wir betroffen?“ muss geklärt und das Ergebnis dokumentiert werden. Wer betroffen ist, hat Pflichten mit Fristen. Wer es nicht ist, wird häufig trotzdem von seinen Kunden verpflichtet. Registrierung: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten; das Registrierungsportal des BSI ist seit dem 6. Januar 2026 offen, die Frist für die Erstregistrierung lief am 6. März 2026 ab. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen – wir unterstützen dabei. Meldepflichten: Bei einem erheblichen Sicherheitsvorfall gilt eine Erstmeldung binnen 24 Stunden, eine Konkretisierung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats. Nachweise: Eine turnusmäßige Nachweispflicht gegenüber dem BSI – alle drei Jahre durch Audit, Prüfung oder Zertifizierung – trifft nur Betreiber kritischer Anlagen. Besonders wichtige und wichtige Einrichtungen ohne kritische Anlage müssen keine Nachweise einreichen, unterliegen aber der Aufsicht des BSI und müssen ihre Maßnahmen jederzeit belegen können. Stand: September 2026. Diese Angaben ersetzen keine Rechtsberatung.

NIS2: Wer ist betroffen?

Das Gesetz unterscheidet besonders wichtige Einrichtungen (früher: wesentliche) und wichtige Einrichtungen. Entscheidend sind Sektor und Unternehmensgröße:

• Wichtige Einrichtung: ab 50 Mitarbeitenden oder ab 10 Mio. € Jahresumsatz und 10 Mio. € Bilanzsumme – in einem der betroffenen Sektoren
• Besonders wichtige Einrichtung: ab 250 Mitarbeitenden oder ab 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme in den Sektoren hoher Kritikalität – plus Betreiber kritischer Anlagen unabhängig von der Größe
• Sektoren hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste, öffentliche Verwaltung, Weltraum
• Sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Maschinenbau, Fahrzeugbau, Elektronik, Medizinprodukte), digitale Dienste, Forschung
• Lieferkette: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferanten und Dienstleister bewerten. In der Praxis verpflichten Stadtwerke, Automobilzulieferer oder Krankenhäuser ihre Zulieferer vertraglich zu vergleichbaren Maßnahmen – auch Betriebe mit 20 Mitarbeitenden

Gerade das verarbeitende Gewerbe unterschätzt die eigene Betroffenheit: Ein Zulieferer aus dem Landkreis Roth mit 60 Mitarbeitenden fällt in der Regel direkt unter das Gesetz. Wie sich die Anforderungen in der Fertigung umsetzen lassen, beschreiben wir unter IT für Produktion; für Versorger unter IT für Kommunen & Stadtwerke.

NIS2-Anforderungen: die zehn Mindestmaßnahmen nach § 30 BSIG

Betroffene Einrichtungen müssen „geeignete, verhältnismäßige und wirksame“ Maßnahmen umsetzen. Das Gesetz nennt zehn Bereiche, die mindestens abgedeckt sein müssen:

1. Risikoanalyse und Sicherheitskonzepte – Sie kennen Ihre Systeme, deren Schutzbedarf und die Risiken.
2. Bewältigung von Sicherheitsvorfällen – ein Prozess, wer bei einem Angriff was tut, inklusive Meldung.
3. Betriebskontinuität – Backup, Wiederherstellung, Notfall- und Krisenmanagement.
4. Sicherheit der Lieferkette – Bewertung Ihrer Dienstleister und Zulieferer.
5. Sicherheit bei Erwerb, Entwicklung und Wartung – Schwachstellenmanagement, Patchprozesse.
6. Bewertung der Wirksamkeit – regelmäßige Prüfung, ob die Maßnahmen greifen.
7. Cyberhygiene und Schulung – Grundregeln für alle, Awareness-Training für Mitarbeitende.
8. Kryptografie und Verschlüsselung – wo, wie und mit welchen Verfahren verschlüsselt wird.
9. Personalsicherheit, Zugriffskontrolle, Anlagenmanagement – Berechtigungskonzept, Inventar der Systeme.
10. Mehr-Faktor-Authentifizierung und sichere Kommunikation – MFA für Zugänge, gesicherte Sprach-, Video- und Textkommunikation.

Viele dieser Punkte sind technisch und lassen sich mit einem Managed-Service-Modell abdecken: Managed Firewall mit Netzsegmentierung, Endpoint-Schutz mit EDR/XDR, MFA, Patchmanagement, Cloud-Backup mit Disaster Recovery und ein IT-Notfallplan. Die organisatorischen Punkte – Risikoanalyse, Richtlinien, Wirksamkeitsprüfung – brauchen ein Managementsystem und eine verantwortliche Person.

Registrierung und Meldepflichten

Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren und erhebliche Sicherheitsvorfälle in drei Stufen melden:

24 Stunden sind kurz. Deshalb gehört der Meldeprozess in den IT-Notfallplan – mit Vorlage, Zuständigkeit und Vertretung.

Geschäftsführerhaftung: Was passiert, wenn nicht?

NIS2 nimmt die Geschäftsleitung ausdrücklich in die Pflicht. Geschäftsführer und Vorstände müssen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzen sie diese Pflicht, haften sie gegenüber der Gesellschaft für den entstandenen Schaden. Hinzu kommen Bußgelder für das Unternehmen, die sich je nach Einstufung an Prozentsätzen des weltweiten Jahresumsatzes orientieren, sowie Anordnungen des BSI.

Sachlich betrachtet: Wer die Betroffenheit prüft, Maßnahmen umsetzt und beides dokumentiert, erfüllt seine Sorgfaltspflicht. Problematisch ist nur, nichts zu tun oder nichts nachweisen zu können.

Wie läuft die NIS2-Beratung bei BES ab?

1. Betroffenheitsanalyse. Wir klären Sektor, Größenklasse, Sonderfälle und Lieferkettenanforderungen Ihrer Kunden. Ergebnis: eine schriftliche Einordnung für Kunden, Versicherer und Behörden.
2. Gap-Analyse. Wir prüfen Ihre IT und Ihre Organisation gegen die zehn Mindestmaßnahmen: Was ist vorhanden, was fehlt, was ist vorhanden, aber nicht dokumentiert? Sie erhalten eine Lückenliste mit Priorität.
3. Maßnahmenplan. Aus den Lücken wird ein Plan mit Reihenfolge, Verantwortlichen, Aufwand und Budget – technische Maßnahmen bei BES, organisatorische bei CMD Datenschutz & Compliance.
4. Umsetzung. Wir setzen die technischen Maßnahmen um: Segmentierung, Firewall, Endpoint-Schutz, MFA, Backup, Monitoring, Schwachstellenmanagement, Awareness-Training. Parallel entstehen Richtlinien, Risikoanalyse und Notfallplan.
5. Nachweis. Am Ende steht eine Dokumentation, die dem BSI, Ihren Kunden und Ihrer Cyber-Versicherung zeigt, was umgesetzt wurde – und ein Prozess, der sie aktuell hält. Unser Monatsreport und das Quartals-Roadmap-Gespräch sind dafür fester Bestandteil.

Zusammenarbeit mit CMD Datenschutz & Compliance: Technik und Organisation aus einer Gruppe

NIS2 lässt sich nicht allein mit Technik erfüllen. Die Risikoanalyse, die Richtlinien, die Bewertung der Wirksamkeit und die Rolle des Informationssicherheitsbeauftragten (ISB) brauchen jemanden, der Managementsysteme kennt. Dafür arbeiten wir mit unserer Schwesterfirma CMD Datenschutz & Compliance aus der L&S Unternehmensgruppe zusammen: CMD stellt auf Wunsch den externen ISB, baut das Informationssicherheits-Managementsystem (ISMS) auf und führt Audits durch. BES liefert die technischen Maßnahmen und den Betrieb. Sie haben einen Ansprechpartner pro Thema, aber ein gemeinsames Konzept – ohne zwei Dienstleister, die sich gegenseitig die Verantwortung zuschieben.

NIS2 und ISO 27001: Wie hängt das zusammen?

Die zehn Mindestmaßnahmen von NIS2 decken sich weitgehend mit dem Maßnahmenkatalog der ISO 27001. Wer ein ISMS nach ISO 27001 betreibt, hat den Großteil der NIS2-Anforderungen bereits strukturiert erfüllt und kann das Zertifikat als Nachweis nutzen. Umgekehrt ist eine Zertifizierung für NIS2 nicht vorgeschrieben – für viele Mittelständler reicht ein schlankes, dokumentiertes Managementsystem. Ob sich der Schritt zur Zertifizierung lohnt, hängt von Kunden und Ausschreibungen ab; wir erklären das unter ISO 27001-Beratung. BES durchläuft die ISO-27001-Zertifizierung derzeit selbst und kennt den Weg aus eigener Erfahrung.

Häufige Fragen