Ein Metallverarbeiter aus dem Landkreis Roth, 80 Mitarbeitende, liefert Gehäuseteile an einen Hersteller von Schaltanlagen. Im Frühjahr kommt ein Schreiben des Kunden: Bitte bestätigen Sie bis zum Quartalsende, dass Ihr Unternehmen die Anforderungen der NIS2-Richtlinie an die Lieferkette erfüllt – Risikomanagement, Meldeprozess, Notfallplan, Nachweis der Geschäftsführungsschulung. Der Geschäftsführer hatte von NIS2 gehört, aber angenommen, es betreffe nur Energieversorger. Jetzt hängt ein Rahmenvertrag daran.

Dieses Szenario ist fiktiv, aber es spielt sich in ähnlicher Form derzeit in vielen Betrieben zwischen Nürnberg, Ansbach und Weißenburg ab. Die Frage „Sind wir betroffen?“ hat zwei Antworten: eine gesetzliche und eine vertragliche. Beide sollten Sie kennen.

Was ist NIS2 überhaupt?

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen in bestimmten Sektoren, ihre IT-Sicherheit auf einem definierten Niveau zu betreiben, Sicherheitsvorfälle zu melden und die Geschäftsführung in die Verantwortung zu nehmen. In Deutschland wurde die Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in nationales Recht überführt; zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das Gesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten; die Frist zur Erstregistrierung beim BSI lief am 6. März 2026 ab. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.

Gegenüber der ersten NIS-Richtlinie, die im Wesentlichen KRITIS-Betreiber erfasste, hat sich der Kreis der Betroffenen deutlich erweitert – von einigen hundert auf schätzungsweise rund 30.000 Unternehmen in Deutschland. Das ist der Grund, warum das Thema jetzt im Mittelstand ankommt.

Welche Sektoren fallen unter NIS2?

Die Richtlinie unterscheidet zwei Gruppen von Sektoren.

Sektoren mit hoher Kritikalität (Anhang I): Energie (Strom, Gas, Wärme, Öl, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (Rechenzentren, Cloud-Anbieter, DNS, Vertrauensdienste), Verwaltung von IKT-Diensten (Managed Service Provider, Managed Security Service Provider), öffentliche Verwaltung, Weltraum.

Sonstige kritische Sektoren (Anhang II): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie (Herstellung, Produktion, Handel), Lebensmittel (Produktion, Verarbeitung, Vertrieb), verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitungsgeräte, Elektronik, Optik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau), Anbieter digitaler Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.

Für Mittelfranken bedeutet das: Neben Stadtwerken, Kliniken und Entsorgern sind vor allem Maschinenbauer, Automobilzulieferer, Elektronikfertiger, Lebensmittelhersteller und Logistiker im Blick – genau die Branchen, die die Region prägen.

Ab welcher Größe gilt NIS2?

Die Sektorzugehörigkeit allein reicht nicht. Hinzu kommt eine Größenschwelle, die sich an der EU-Definition für kleine und mittlere Unternehmen orientiert:

• Wichtige Einrichtungen: ab 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz und 10 Millionen Euro Jahresbilanzsumme, in einem Sektor aus Anhang I oder II.
• Besonders wichtige Einrichtungen (früher „wesentliche“): ab 250 Mitarbeitende oder 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, in einem Sektor aus Anhang I; außerdem unabhängig von der Größe bestimmte Betreiber wie KRITIS-Anlagen, qualifizierte Vertrauensdiensteanbieter oder TLD-Registrare.

Zwei Hinweise zur Berechnung. Erstens: Mitarbeitende zählen in Vollzeitäquivalenten, Teilzeitkräfte anteilig. Zweitens: Verbundene Unternehmen werden zusammengerechnet – ein Betrieb mit 40 Mitarbeitenden, der zu einer Gruppe mit 300 Mitarbeitenden gehört, kann als Teil der Gruppe betroffen sein. Wie genau die Zurechnung im Einzelfall erfolgt, klärt im Zweifel ein Rechtsberater.

Die Unterscheidung zwischen „wichtig“ und „besonders wichtig“ ist relevant für die Aufsicht: Besonders wichtige Einrichtungen werden proaktiv geprüft und müssen regelmäßig Nachweise erbringen; wichtige Einrichtungen werden anlassbezogen geprüft. Die inhaltlichen Pflichten sind weitgehend gleich.

Bin ich betroffen, auch wenn ich unter den Schwellen liege?

Hier kommt die zweite, vertragliche Antwort ins Spiel – und die trifft deutlich mehr Unternehmen als die gesetzliche.

NIS2 verpflichtet betroffene Einrichtungen, die Sicherheit ihrer Lieferkette zu managen. Ein Stadtwerk, ein Automobilhersteller oder ein Logistikkonzern muss also prüfen, ob seine Lieferanten und Dienstleister ein angemessenes Sicherheitsniveau haben. In der Praxis lösen die Betroffenen das über Fragebögen, Vertragsklauseln und Nachweispflichten – wie im Szenario zu Beginn.

Für den Metallverarbeiter mit 80 Mitarbeitenden heißt das: Er ist im Sektor „verarbeitendes Gewerbe“ nur betroffen, wenn er Produkte aus den genannten Unterkategorien herstellt. Aber sein Kunde ist betroffen und verlangt den Nachweis. Wer den nicht liefern kann, riskiert den Auftrag. Das ist kein Bußgeld, aber wirtschaftlich oft schwerwiegender.

Auch IT-Dienstleister wie BES sind als „Verwaltung von IKT-Diensten“ betroffen – ein Grund, warum wir die ISO-27001-Zertifizierung selbst durchlaufen.

Welche Pflichten kommen auf betroffene Unternehmen zu?

Das Gesetz nennt einen Katalog von Mindestmaßnahmen. Übersetzt in die Sprache eines Geschäftsführers:

1. Risikomanagement: Sie müssen wissen, welche IT-Systeme für den Betrieb kritisch sind, welche Risiken bestehen und wie Sie damit umgehen. Das ist der Kern eines ISMS.
2. Vorfallbewältigung: Es gibt einen Prozess, wie Sicherheitsvorfälle erkannt, bewertet und behandelt werden.
3. Betriebskontinuität: Backup, Wiederherstellung, Krisenmanagement – ein getesteter IT-Notfallplan.
4. Lieferkettensicherheit: Sie prüfen Ihre eigenen Dienstleister und Lieferanten.
5. Sicherheit bei Beschaffung und Entwicklung: Schwachstellenmanagement, Patchprozesse.
6. Wirksamkeitsprüfung: Sie bewerten regelmäßig, ob die Maßnahmen funktionieren.
7. Schulung und Cyberhygiene: Mitarbeitende werden geschult, Grundregeln gelten.
8. Kryptografie und Verschlüsselung nach Stand der Technik.
9. Zugriffskontrolle und Personalsicherheit: Wer darf was, und wie wird das kontrolliert.
10. Multi-Faktor-Authentifizierung und sichere Kommunikation.

Dazu kommen Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Erstmeldung, innerhalb von 72 Stunden mit Bewertung und innerhalb eines Monats als Abschlussbericht an das BSI gemeldet werden. Und eine Registrierungspflicht beim BSI: drei Monate ab Inkrafttreten beziehungsweise ab dem Zeitpunkt, zu dem ein Unternehmen betroffen wird.

Was bedeutet NIS2 für die Geschäftsführung persönlich?

Das ist der Punkt, der NIS2 von früheren Regelungen unterscheidet. Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Sie muss regelmäßig an Schulungen teilnehmen, um Risiken bewerten zu können. Und sie haftet nach den allgemeinen gesellschaftsrechtlichen Regeln für Pflichtverletzungen gegenüber dem Unternehmen – eine Delegation an den IT-Leiter oder den Dienstleister entbindet nicht.

Für Verstöße der Einrichtung sieht das Gesetz Bußgelder vor, die bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes erreichen können, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Das sind Obergrenzen, keine Regelwerte – aber sie zeigen, wie ernst der Gesetzgeber es meint.

Wir sind keine Rechtsberater und geben hier keine Rechtsauskunft. Die Konsequenz aus dem Gesetzestext ist aber eindeutig: NIS2 ist Chefsache, nicht IT-Sache.

Selbstcheck: Ist mein Unternehmen betroffen?

Wer in der ersten Spalte landet, sollte die Betroffenheit rechtlich prüfen lassen und mit der Umsetzung beginnen. Wer in der zweiten Spalte landet, hat Zeit – sollte sie aber nutzen, denn die Anforderungen der Kunden kommen erfahrungsgemäß schneller als die des Gesetzgebers.

Was sollte ich jetzt konkret tun?

Schritt 1 – Betroffenheit klären. Anhand der Tabelle, bei Zweifeln mit Rechtsberatung. Dokumentieren Sie das Ergebnis, auch wenn es „nicht betroffen“ lautet – Ihre Kunden werden fragen.

Schritt 2 – Bestandsaufnahme. Welche Systeme sind kritisch, wie sind sie geschützt, was ist dokumentiert? In vielen Betrieben zeigt sich hier, dass die IT-Dokumentation beim Dienstleister liegt und niemand im Haus sie kennt.

Schritt 3 – Lücken schließen. Typische Baustellen sind fehlende MFA, ungetestete Backups, kein Notfallplan, keine Awareness-Schulung, keine Netzsegmentierung. Das sind Maßnahmen, die unabhängig von NIS2 sinnvoll sind – und die auch Cyber-Versicherer verlangen.

Schritt 4 – Prozesse aufsetzen. Meldeweg für Vorfälle, Regelung der Verantwortung, Schulungsplan für die Geschäftsführung, Lieferantenbewertung.

Schritt 5 – Nachweisfähig werden. Wer ohnehin ein Managementsystem braucht, prüft, ob ISO 27001 der richtige Rahmen ist. Die Norm deckt die NIS2-Anforderungen weitgehend ab und ist bei Kunden als Nachweis anerkannt.

Fazit

NIS2 betrifft in Mittelfranken weit mehr Unternehmen, als die meisten annehmen – gesetzlich über Sektor und Größe, vertraglich über die Lieferkette. Die Pflichten sind kein Hexenwerk, sondern das, was eine ordentlich betriebene IT ohnehin leisten sollte: Risiken kennen, Zugriffe kontrollieren, Backups testen, Vorfälle melden können, Mitarbeitende schulen. Neu ist, dass die Geschäftsführung dafür persönlich einsteht.

BES Systemhaus begleitet Unternehmen in Mittelfranken bei der NIS2-Umsetzung: Betroffenheitsanalyse, Bestandsaufnahme, Maßnahmenplan, technische Umsetzung und Betrieb im Rahmen unserer Managed IT-Services. Die organisatorische Seite – ISMS, Richtlinien, externer Informationssicherheitsbeauftragter – übernimmt unsere Schwesterfirma CMD Datenschutz & Compliance. Wir betreuen bereits Stadtwerke und Entsorger, die als KRITIS- und NIS2-Einrichtungen gelten.

Erstgespräch vereinbaren – in 30 Minuten klären wir, ob und wie NIS2 Ihr Unternehmen betrifft und was die nächsten Schritte sind.

Häufige Fragen