Cybersicherheit ist mit der NIS2-Richtlinie von einer Empfehlung zu einer gesetzlichen Pflicht geworden. In Deutschland fallen nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik rund 29.500 Einrichtungen unter die neuen Vorgaben (BSI) - und selbst Shops, die unterhalb der Schwellenwerte liegen, geraten als Zulieferer betroffener Unternehmen in die Nachweispflicht. Das Entscheidende dabei: Die geforderten Maßnahmen - Patch- und Backup-Management, Multifaktor-Authentifizierung, Vorfallmeldung und Lieferkettensicherheit - sind kein einmaliges Projekt, sondern operativer Wartungsalltag. Dieser Leitfaden übersetzt die Gesetzespflichten in einen konkreten Maßnahmenplan und zeigt, wie ein SLA-Wartungsvertrag diese Anforderungen dauerhaft abdeckt und dokumentiert.
Das Wichtigste in Kürze
- NIS2 ist die Richtlinie (EU) 2022/2555, in Deutschland über das BSI-Gesetz verbindlich. Sie erfasst 18 Sektoren (Bundesregierung) und rund 29.500 Einrichtungen (BSI) statt zuvor etwa 4.500 KRITIS-Betreibern. Reiner Einzelhandel zählt nicht dazu.
- Direkt betroffen sind Shops vor allem als Betreiber digitaler Dienste: wichtige Einrichtungen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz, besonders wichtige ab 250 oder 50 Millionen Euro (Europäische Kommission). Registrierung beim BSI ist Pflicht.
- Der Katalog umfasst mindestens zehn Risikomanagementmaßnahmen (Bundesregierung): Risikoanalyse, Schwachstellen- und Patch-Management, geprüfte Backups, Multifaktor-Authentifizierung, Zugriffskontrolle, Lieferkettenbewertung, Wirksamkeitsprüfung und Dokumentation.
- Erhebliche Vorfälle werden dreistufig gemeldet: Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen einem Monat (BSI). Die Fristen laufen ab Kenntnis des Vorfalls, nicht ab Abschluss der Analyse.
- Über die Lieferkettenpflicht erreichen die Anforderungen auch Shops unterhalb der Schwellenwerte: Regulierte Unternehmen müssen die Sicherheit ihrer Dienstleister und Zulieferer bewerten (Europäische Kommission) und fordern dafür Fragebögen und Wartungsnachweise ein.
- Der Bußgeldrahmen reicht bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes, bei wichtigen Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent (Bundesregierung). Die Geschäftsleitung billigt und überwacht die Maßnahmen; eine einmalige Umsetzung genügt nicht.
Was NIS2 ist und warum es Shops betrifft
NIS2 ist die zweite Richtlinie der Europäischen Union zur Netz- und Informationssicherheit, offiziell die Richtlinie (EU) 2022/2555. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht überführen (Europäische Kommission). In Deutschland geschieht das über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das die Anforderungen im BSI-Gesetz verankert. Erfasst werden 18 Sektoren von hoher und sonstiger Kritikalität (Bundesregierung), von Energie und Verkehr über Gesundheit und digitale Infrastruktur bis zu Produktion, Chemie und Lebensmitteln. Damit wächst der Kreis der regulierten Einrichtungen von zuvor rund 4.500 KRITIS-Betreibern auf etwa 29.500 - eine Ausweitung um mehr als das Sechsfache (BSI).
Der Hintergrund dieser Verschärfung ist eine reale und steigende Bedrohungslage. Der Gesamtschaden durch analoge und digitale Angriffe auf die deutsche Wirtschaft lag zuletzt bei 289,2 Milliarden Euro pro Jahr (Bitkom, Wirtschaftsschutz 2025); allein auf Cyberangriffe entfielen davon 202,4 Milliarden Euro und damit rund 70 Prozent des Gesamtschadens (Bitkom, Wirtschaftsschutz 2025). Von Ransomware, bei der Daten verschlüsselt und nur gegen Zahlung freigegeben werden, waren 34 Prozent der Unternehmen betroffen (Bitkom, Wirtschaftsschutz 2025). Für einen Online-Shop, dessen Umsatz unmittelbar an der Verfügbarkeit und Integrität seiner Systeme hängt, ist genau das die Ausgangslage, auf die NIS2 antwortet.
Richtlinie, Gesetz und Aufsicht
Ist mein Online-Shop direkt betroffen?
Der reine Einzelhandel zählt nicht zu den 18 regulierten Sektoren. Direkt betroffen sind Shops jedoch dann, wenn sie zugleich einen Dienst betreiben, der unter die digitale Infrastruktur oder die digitalen Dienste fällt - etwa als Betreiber eines Online-Marktplatzes, einer Suchmaschine oder eines Cloud-Angebots. Ob eine Einrichtung erfasst ist, hängt außerdem von ihrer Größe ab: Als Faustregel gelten mittlere Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und große Unternehmen ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz (Europäische Kommission). Das Gesetz unterscheidet danach zwischen besonders wichtigen und wichtigen Einrichtungen.
| Kriterium | Besonders wichtige Einrichtungen | Wichtige Einrichtungen |
|---|---|---|
| Größe | ab 250 Mitarbeitenden oder über 50 Mio. Euro Umsatz (Europäische Kommission) | ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz (Europäische Kommission) |
| Typische Beispiele | große Betreiber in hochkritischen Sektoren | mittlere Unternehmen der regulierten Sektoren |
| Aufsicht durch das BSI | eher proaktive Kontrolle | Kontrolle bei konkretem Anlass |
| Registrierung beim BSI | Pflicht | Pflicht |
| Bußgeldrahmen | bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Bundesregierung) | bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes (Bundesregierung) |
Auch unterhalb der Schwellen: Zulieferer in der Nachweispflicht
Die zehn Pflichtmaßnahmen: Gesetz trifft Wartungsalltag
Den Kern von NIS2 bildet ein Katalog von mindestens zehn Risikomanagementmaßnahmen, die betroffene Einrichtungen umsetzen müssen (Bundesregierung). Er reicht von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs und die Lieferkettensicherheit bis zu Kryptografie, Zugriffskontrolle und Multifaktor-Authentifizierung. Liest man diesen Katalog aus dem Blickwinkel des Betriebs, fällt eines sofort auf: Fast jede dieser Anforderungen beschreibt eine Tätigkeit, die ohnehin in die laufende Wartung eines Online-Shops gehört.
Patch- und Schwachstellenmanagement
Sichere Beschaffung, Entwicklung und Wartung bedeutet, dass bekannte Sicherheitslücken zeitnah geschlossen werden. Das ist klassisches Update- und Patch-Management im Tagesgeschäft.
Backup und Betriebsfortführung
Die Aufrechterhaltung des Betriebs verlangt Datensicherungen, ein Backup-Management und geprüfte Wiederherstellung - ein fester Bestandteil jeder Wartung.
Multifaktor-Authentifizierung
MFA und gesicherte Kommunikation schützen die Zugänge zu Shop-Backend, Server und angebundenen Diensten gegen übernommene Zugangsdaten.
Lieferkettensicherheit
Die Sicherheit der Lieferkette betrifft Erweiterungen, Themes, Bibliotheken und externe Dienstleister, die alle regelmäßig bewertet werden müssen.
Wirksamkeit prüfen
Konzepte zur Bewertung der Wirksamkeit verlangen Tests nach Änderungen und eine regelmäßige Kontrolle, ob die Maßnahmen tatsächlich greifen.
Risikoanalyse und Dokumentation
Risikoanalyse, IT-Sicherheitskonzepte und nachvollziehbare Nachweise bilden die Grundlage - und müssen gepflegt und aktuell gehalten werden.
Der Unterschied liegt in der Dauerhaftigkeit
Patch- und Backup-Management als Dauerpflicht
Am deutlichsten wird die Nähe von Gesetz und Wartung beim Umgang mit Schwachstellen. NIS2 verlangt Sicherheit in Beschaffung, Entwicklung und Wartung samt Schwachstellenmanagement - im Shop-Alltag heißt das, dass Sicherheitsupdates für das Shopsystem, seine Erweiterungen und die darunterliegende Serverumgebung zeitnah eingespielt und getestet werden. Ein geordnetes CVE- und Patch-Management ist damit keine Kür, sondern die operative Erfüllung einer gesetzlichen Anforderung. Ohne festen Rhythmus bleiben bekannte Lücken offen, und genau diese werden am häufigsten ausgenutzt.
Ebenso konkret ist die Pflicht zur Aufrechterhaltung des Betriebs. Sie umfasst Datensicherung, Krisenmanagement und die Fähigkeit, nach einem Vorfall zügig wieder betriebsfähig zu sein. In der Praxis bedeutet das regelmäßige, geprüfte Backups und ein durchdachtes Wiederherstellungskonzept - Themen, die wir in unserem Beitrag zu Backup-Strategien für Online-Shops ausführlich behandeln und die im Backup-Service fest verankert sind. Ein ungeprüftes Backup erfüllt die Anforderung nur auf dem Papier.
Dokumentation ist Teil der Pflicht
Multifaktor-Authentifizierung und Zugriffskontrolle
Ein eigener Punkt im Maßnahmenkatalog ist die Multifaktor-Authentifizierung, ergänzt um Zugriffskontrolle, Personalsicherheit und Asset-Management. Für einen Shop bedeutet das, dass Zugänge zum Backend, zum Server und zu angebundenen Diensten nicht mehr allein durch ein Passwort geschützt sein sollten. Übernommene Zugangsdaten sind ein häufiger Einstiegspunkt für Angriffe; ein zweiter Faktor senkt dieses Risiko erheblich. Ergänzend gehört dazu, Rechte sparsam zu vergeben, ausgeschiedene Konten zu deaktivieren und den Überblick über die eingesetzten Systeme zu behalten.
- Multifaktor-Authentifizierung für Shop-Backend, Server und administrative Dienste aktivieren
- Zugriffsrechte nach dem Prinzip der minimalen Rechte vergeben und regelmäßig überprüfen
- Ausgeschiedene Konten und ungenutzte Zugänge zeitnah deaktivieren
- Eingesetzte Systeme, Erweiterungen und Dienste inventarisieren (Asset-Management)
- Administrative Zugänge und Kommunikationswege verschlüsseln
- Änderungen an Rollen und Rechten nachvollziehbar dokumentieren
Die Meldepflicht: 24, 72 und ein Monat
Neben den technischen Maßnahmen führt NIS2 eine gestufte Meldepflicht ein. Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle dem BSI melden - und zwar in drei Schritten. Die erste Meldung, die Frühwarnung, muss innerhalb von 24 Stunden erfolgen (BSI). Es folgt eine Folgemeldung innerhalb von 72 Stunden (BSI) und schließlich ein Abschlussbericht innerhalb von einem Monat (BSI). Wichtig ist: Die Fristen laufen ab Kenntnis des Vorfalls, nicht ab dem Abschluss der Analyse - Schnelligkeit geht hier vor Vollständigkeit.
| Stufe | Frist ab Kenntnis | Inhalt der Meldung |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden (BSI) | erste Meldung, ob ein erheblicher Vorfall vorliegt und ob ein Verdacht auf eine rechtswidrige Handlung besteht |
| Folgemeldung | innerhalb von 72 Stunden (BSI) | Bewertung des Vorfalls mit Schweregrad, Auswirkungen und ersten Erkenntnissen |
| Abschlussbericht | innerhalb von einem Monat (BSI) | vollständige Beschreibung, Ursache, Auswirkungen und die ergriffenen Gegenmaßnahmen |
24 Stunden sind ohne Vorbereitung kaum zu halten
Lieferkettensicherheit: auch kleine Shops in der Pflicht
Der vielleicht folgenreichste Punkt für kleinere Shops ist die Lieferkettensicherheit. NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer direkten Zulieferer und Dienstleister zu berücksichtigen und vertraglich abzusichern (Europäische Kommission). In der Praxis bedeutet das: Ein reguliertes Unternehmen muss von seinen Dienstleistern - also auch von der Agentur, die seinen Shop betreibt, oder vom Zulieferer, der über eine Schnittstelle angebunden ist - einen belegbaren Sicherheitsstand einfordern.
Für Shops und Dienstleister unterhalb der Schwellenwerte heißt das konkret: Sicherheitsfragebögen, vertragliche Anforderungen und Nachweise über Wartung und Updates werden zunehmend zur Voraussetzung, um als Partner in Frage zu kommen. Ein dokumentierter, laufend gepflegter Wartungsstand ist damit nicht länger nur eine technische Frage, sondern ein handfestes Verkaufsargument gegenüber regulierten Kunden. Wer hier vorbereitet ist, hebt sich von Wettbewerbern ab, die den Nachweis nicht führen können.
Die Lieferkettenpflicht wirkt wie ein Multiplikator: Sie reicht die Sicherheitsanforderungen von den regulierten Unternehmen an ihre Dienstleister weiter - und macht einen nachweisbaren Wartungsstand zum Türöffner.
Bußgelder und Verantwortung der Leitung
NIS2 verleiht seinen Anforderungen mit spürbaren Sanktionen Nachdruck. Für besonders wichtige Einrichtungen sind Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vorgesehen, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes (Bundesregierung). Hinzu kommt eine besondere Verantwortung der Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und kann für Versäumnisse in die Pflicht genommen werden. Cybersicherheit wird damit ausdrücklich zur Chefsache.
Registrierung nicht vergessen
Vom Gesetzestext zum Maßnahmenplan im Wartungsvertrag
Die entscheidende Erkenntnis aus alledem ist, dass NIS2 keine völlig neuen Tätigkeiten verlangt, sondern bekannte Wartungsaufgaben verbindlich, dauerhaft und nachweisbar macht. Ein SLA-Wartungsvertrag ist das Werkzeug, das diese Übersetzung leistet: Er bündelt Patch-Management, Backups, Monitoring, Härtung und Zugriffskontrolle zu festen, wiederkehrenden Leistungen, legt Reaktionszeiten fest und dokumentiert jeden Schritt. Damit werden aus einzelnen Paragrafen planbare Aufgaben mit klaren Zuständigkeiten - ein Prinzip, das sich durch unsere gesamten Wartungsleistungen zieht.
Definierte Reaktionszeiten
Der SLA legt fest, wie schnell auf Sicherheitsmeldungen und Störungen reagiert wird - die Grundlage, um die 24-Stunden-Meldefrist überhaupt einhalten zu können.
Geplantes Patch-Management
Sicherheitsupdates werden in festen Zyklen und nach kritischen Veröffentlichungen als Sicherheitsupdates eingespielt und getestet.
Backups und Wiederherstellung
Regelmäßige Sicherungen mit geprüfter Wiederherstellung erfüllen die Pflicht zur Aufrechterhaltung des Betriebs im Ernstfall.
Laufendes Monitoring
Verfügbarkeit, Zertifikate und Auffälligkeiten werden überwacht, damit Vorfälle früh erkannt und fristgerecht gemeldet werden können.
Nachweisbare Dokumentation
Jede Maßnahme und Änderung wird protokolliert - die Grundlage für Meldungen, Audits und die Nachweise entlang der Lieferkette.
Härtung und Zugriffe
Serverhärtung, Multifaktor-Authentifizierung und Zugriffskontrollen werden eingerichtet und im festen Rhythmus gepflegt.
- Alle zehn Pflichtmaßnahmen aus dem Maßnahmenkatalog auf feste Wartungsleistungen abbilden
- Patch-, Backup- und Zugriffsmanagement in wiederkehrende, geprüfte Zyklen überführen
- Reaktions- und Meldeprozess mit klaren Fristen und Zuständigkeiten festlegen
- Sicherheitsstand und Änderungen fortlaufend und nachvollziehbar dokumentieren
- Erweiterungen, Bibliotheken und Dienstleister regelmäßig auf Sicherheit prüfen
- Den Maßnahmenplan nach jeder größeren Änderung aktualisieren
So betrachtet ist NIS2 weniger eine Bedrohung als ein Anlass, den Betrieb eines Shops sauber aufzustellen. Die geforderte Härtung und Absicherung reiht sich nahtlos in bestehende Bausteine ein - von der Server-Härtung für Shops über konsequente HTTP-Security-Header und eine CSP bis zu Wartungsfenstern ohne Umsatzausfall und der rechtssicheren Aufbewahrung von Datensicherungen. Ein Shop, der diese Punkte laufend erfüllt und dokumentiert, ist nicht nur besser vor Angriffen geschützt, sondern auch als Partner regulierter Unternehmen belastbar aufgestellt.
Quellen und Studien