Die kurze Antwort
Die meisten kleinen Unternehmen sind von NIS2 nicht direkt betroffen. Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und ergänzt das BSI-Gesetz (BSIG). Es betrifft Unternehmen in bestimmten Sektoren ab einer bestimmten Größe und einige Sonderfälle.
Viele kleinere Unternehmen spüren NIS2 trotzdem: über ihre Kunden. Wer betroffen ist, muss auch die Sicherheit seiner Lieferkette berücksichtigen und fragt deshalb bei Lieferanten und Dienstleistern nach. Dabei geht es oft auch um die Website oder den Shop.
Für die meisten kleinen Unternehmen ist NIS2 keine eigene Pflicht, sondern eine Frage ihrer Kunden. Wer sie mit Belegen beantworten kann, ist im Vorteil.
Wer direkt betroffen ist
Betroffen sind vor allem Unternehmen, die in einem der Sektoren aus den Anlagen 1 und 2 des BSI-Gesetzes tätig sind, etwa Energie, Transport, Gesundheit, Teile der Industrie oder digitale Dienste, und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme haben (§ 28 BSIG). Für einige Einrichtungsarten, etwa Telekommunikation oder Vertrauensdienste, gelten andere Regeln, und bei Unternehmensgruppen kommt es auf die Einzelheiten an.
Prüfen müssen Sie das selbst, das BSI teilt Ihnen nicht mit, ob Sie betroffen sind.
NIS-2-Betroffenheitsprüfung des BSI
Ein Entscheidungsbaum mit Fragen zu Ihrem Unternehmen. Das Ergebnis ist eine erste Orientierung, keine rechtliche Bewertung.
Zur BetroffenheitsprüfungWenn Sie betroffen sind
- 01
Registrierung beim BSI
Spätestens drei Monate, nachdem ein Unternehmen unter das Gesetz fällt. Die Frist für Unternehmen, die schon mit Inkrafttreten betroffen waren, ist laut BSI abgelaufen. Wer noch nicht registriert ist, soll das umgehend nachholen, über das BSI-Portal mit einem ELSTER-Organisationszertifikat.
§ 33 BSIG - 02
Risikomanagement
Geeignete, verhältnismäßige und wirksame Maßnahmen nach dem Stand der Technik, dokumentiert. Mindestens zehn Bereiche, darunter Umgang mit Sicherheitsvorfällen, Backups und Wiederherstellung, Lieferkette, Umgang mit Schwachstellen, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
§ 30 BSIG - 03
Meldepflichten
Erhebliche Sicherheitsvorfälle werden gestuft gemeldet: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden, eine Abschlussmeldung spätestens einen Monat danach.
§ 32 BSIG - 04
Geschäftsleitung
Sie muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Die Haftung richtet sich nach dem Gesellschaftsrecht der jeweiligen Rechtsform.
§ 38 BSIG
Mehr zu Registrierung und Pflichten auf den Seiten des BSI. Fragen zur Haftung im Einzelfall klären Sie am besten mit einer Anwältin oder einem Anwalt.
Der häufigere Fall: Ihre Kunden sind betroffen
Zu den Pflichten betroffener Unternehmen gehört die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ (§ 30 Abs. 2 Nr. 4 BSIG).
Dazu gehören zum Beispiel vertragliche Vereinbarungen mit Zulieferern und Dienstleistern zu Risikomanagementmaßnahmen, zur Bewältigung von Sicherheitsvorfällen und zum Patch Management.
BSI, FAQ zu NIS-2Das Gesetz verpflichtet nicht alle Zulieferer und Dienstleister indirekt. Betroffene Unternehmen müssen ihre Zulieferer aber zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten.
BSI, Infopaket LieferketteFür Sie als Lieferant ist das deshalb eine geschäftliche Frage: Ein betroffener Kunde kann womöglich nicht mehr mit jedem Unternehmen zusammenarbeiten, ohne selbst Pflichten zu verletzen. In der Praxis kommt das als Fragebogen oder als Vertragsklausel an.
Was Ihre Kunden zur Website fragen
Die Fragen betreffen meist die gesamte IT eines Lieferanten, Website oder Shop sind ein Teil davon. Damit sollten Sie rechnen:
Patch Management
- Wie schnell werden Sicherheitsupdates eingespielt?
- Werden sie vorher getestet?
- Wer ist zuständig?
Backups
- Wie oft wird gesichert, und wo liegen die Sicherungen?
- Sind sie verschlüsselt?
- Wurde die Wiederherstellung getestet?
Sicherheitsvorfälle
- Wie werden Angriffe oder Veränderungen erkannt?
- Wer informiert den Kunden, und wie schnell?
Zugriffskontrolle
- Wer hat Administratorzugang?
- Ist er mit einem zweiten Faktor geschützt?
- Werden alte Konten entfernt?
Dokumentation
- Lässt sich belegen, was wann geändert, geprüft und eingespielt wurde?
Einen einheitlichen Fragebogen gibt es bisher nicht. Das BSI begrüßt Vorstöße der Wirtschaft, einen gemeinsamen Fragenkatalog für Lieferanten zu erarbeiten.
Wie Sie die Fragen mit Belegen beantworten
Ein „Ja“ ohne Beleg hilft in solchen Fragebögen wenig. Besser sind Antworten, hinter denen ein Dokument steht:
| Die Frage dahinter | Der passende Beleg |
|---|---|
| Wie schnell kommen Sicherheitsupdates? | Ein beschriebener Update-Prozess: wie getestet und eingespielt wird, in welchem Zeitraum Sicherheitsupdates live gehen, wer zuständig ist. |
| Was wurde wann geändert? | Ein Protokoll der Änderungen: welche Updates wann eingespielt wurden, was geprüft wurde und was auffiel. |
| Läuft das dauerhaft? | Regelmäßige Berichte, etwa pro Monat oder Quartal. Sie zeigen, dass die Maßnahmen laufen, nicht nur einmal. |
| Funktionieren die Backups? | Eine Beschreibung der Backups: Häufigkeit, Speicherort, Verschlüsselung und der letzte erfolgreiche Wiederherstellungstest. |
| Was passiert bei einem Vorfall? | Ein Ablauf für Vorfälle: wer erkennt, wer entscheidet, wer dem Kunden meldet und in welcher Zeit. |
Wo es noch eine Lücke gibt, ist eine ehrliche Antwort mit einem Plan besser als ein ungedecktes „Ja“.
Was der Doppelgänger als Beleg liefert
Der Doppelgänger macht Sie nicht „NIS2-konform“, und er deckt nur Ihre Website oder Ihren Shop ab, nicht die übrige IT. Für diesen Teil liefert er Belege, die in Lieferanten-Fragebögen gefragt sind.
Dokumentierter Update-Prozess
Jedes Update spiele ich zuerst auf einer exakten Kopie Ihrer Website auf einem eigenen Server in Deutschland ein und teste es. Sicherheitsupdates gehen in der Regel innerhalb von 24 bis 48 Stunden live.
Nächtliche Prüfungen
Inventur aller Plugins und Erweiterungen mit Abgleich gegen bekannte Schwachstellen, Dateivergleich und Inhaltsprüfung der Live-Website.
Verschlüsselte Backups
Jede Nacht eine verschlüsselte Sicherung auf Servern in Deutschland.
Akte und Berichte
Jede Änderung landet mit Datum in einer Akte, dazu kommen regelmäßige Berichte, die Sie einem Kunden vorlegen können.
Mehr dazu auf den Seiten für WordPress und Shopware. Was die DSGVO von jeder Website verlangt, erkläre ich im Ratgeber Updates sind Pflicht, was der Cyber Resilience Act bedeutet, im Ratgeber Cyber Resilience Act.
Hinweis: Dieser Ratgeber ist keine Rechtsberatung. Ob Ihr Unternehmen unter NIS2 fällt und welche Pflichten Sie im Einzelnen haben, klären Sie im Zweifel mit einer Anwältin oder einem Anwalt.
Kurz beantwortet.
Fällt mein Online-Shop unter NIS2?
Ein eigener Online-Shop allein macht Ihr Unternehmen nicht zu einer NIS2-Einrichtung. Entscheidend ist, in welchem Sektor Ihr Unternehmen tätig ist und wie groß es ist. Anders kann es bei einem Online-Marktplatz aussehen, über den Kunden Verträge mit anderen Händlern schließen: Anbieter von Online-Marktplätzen gehören zu den Sektoren des Gesetzes. Eine erste Orientierung gibt die Betroffenheitsprüfung des BSI.
Muss ich als Lieferant den Fragebogen meines Kunden ausfüllen?
Das BSI-Gesetz verpflichtet Sie als Lieferant nicht direkt. Ihr Kunde muss aber die Sicherheit seiner Lieferkette berücksichtigen und seine Lieferanten zu entsprechenden Sicherheitsanforderungen verpflichten. Praktisch ist es deshalb eine geschäftliche Frage: Wer die Fragen nicht beantworten kann, wird für einen betroffenen Kunden schwerer zu beauftragen.
Welche Fragen zur Website kommen typischerweise?
Wie schnell Sicherheitsupdates eingespielt werden und ob sie vorher getestet werden, wie oft gesichert wird und ob die Wiederherstellung funktioniert, wer Administratorzugang hat und ob er mit einem zweiten Faktor geschützt ist, wie Sicherheitsvorfälle erkannt werden und wer dann wen informiert, und wie das alles dokumentiert ist.
Gibt es Musterverträge oder einen Standardfragebogen?
Vom BSI gibt es keine Vertragsvorlagen, aber das Infopaket Lieferkette. Das BSI begrüßt Vorstöße der Wirtschaft, einen einheitlichen Fragenkatalog für Lieferanten zu erarbeiten. Bis dahin verwenden Unternehmen eigene Fragebögen, die sich in den Kernthemen ähneln.
Macht mich der Doppelgänger NIS2-konform?
Nein. NIS2 betrifft die gesamte IT und Organisation eines Unternehmens, nicht nur die Website. Der Doppelgänger liefert für Website oder Shop Belege, die in solchen Fragebögen gefragt sind: einen dokumentierten, getesteten Update-Prozess, nächtliche Prüfungen, verschlüsselte Backups in Deutschland und eine Akte mit jeder Änderung.
Was gilt für mich, wenn NIS2 mich nicht betrifft?
Die DSGVO. Art. 32 verlangt von jedem Unternehmen Sicherheit nach dem Stand der Technik, sobald personenbezogene Daten verarbeitet werden, also auch für eine Website mit Kontaktformular oder einen Shop. Mehr dazu im Ratgeber Updates sind Pflicht.