NIS-2 für Unternehmen: Was Website-Betreiber jetzt prüfen sollten

NIS-2 für Unternehmen wird oft als Thema für Rechenzentren, Energieversorger oder große IT-Abteilungen eingeordnet. Das greift zu kurz. Wer unter das neue BSI-Gesetz fällt, muss Sicherheitsrisiken in den Systemen und Prozessen betrachten, mit denen die eigenen Dienste erbracht werden. Dazu können auch Website, Kundenportal, Hosting, Formularversand, externe Zugänge und betreuende Dienstleister gehören.

Das deutsche NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Es verpflichtet erfasste Einrichtungen zu angemessenen Risikomanagementmaßnahmen, einem geregelten Umgang mit erheblichen Sicherheitsvorfällen und einer stärkeren Einbindung der Geschäftsleitung. Dieser Beitrag ist eine technische und organisatorische Einordnung, keine Rechtsberatung. Für die verbindliche Bewertung sollten Unternehmen ihren konkreten Sektor, ihre Größe und ihre Vertragsstruktur prüfen lassen.

NIS-2 für Unternehmen: Erst die Betroffenheit klären

Nicht jede Website und nicht jedes KMU fällt automatisch in den Anwendungsbereich. § 28 des BSI-Gesetzes unterscheidet besonders wichtige und wichtige Einrichtungen. Entscheidend sind die Tätigkeit in den gesetzlich benannten Sektoren sowie Größenmerkmale. Bei wichtigen Einrichtungen geht es in vielen Fällen um mindestens 50 Beschäftigte oder um Umsatz und Bilanzsumme von jeweils mehr als 10 Millionen Euro. Für bestimmte digitale Infrastrukturdienste gelten besondere Regeln.

Die Zahl der Beschäftigten allein liefert daher keine belastbare Antwort. Ein produzierendes Unternehmen, ein Logistikdienstleister, ein Gesundheitsanbieter oder ein Managed-Service-Provider sollte die eigenen Tätigkeiten gegen die Anlagen des Gesetzes abgleichen. Auch verbundene Unternehmen, Auslagerungen und die Frage, welcher Teil des Geschäfts einen digitalen Dienst trägt, können relevant sein. Das BSI stellt dafür eine Betroffenheitsprüfung als Entscheidungsbaum bereit.

Prüffrage	Warum sie zählt
Gehört die Haupttätigkeit zu einem erfassten Sektor?	Die Sektorzuordnung ist der Ausgangspunkt, nicht die eingesetzte Software.
Welche Größenwerte treffen zu?	Sie beeinflussen die Einordnung als wichtige oder besonders wichtige Einrichtung.
Welche IT-Systeme tragen den Dienst?	Website, Portal, Identitätsverwaltung, Schnittstellen und Hosting können dazugehören.
Wer betreibt diese Systeme tatsächlich?	Vertrags-, Zugriffs- und Meldewege müssen auch bei externen Dienstleistern funktionieren.

Das Ergebnis sollte dokumentiert werden: mit der angenommenen Einordnung, den verwendeten Daten und den offenen Rechts- oder Organisationsfragen. Das schafft eine Grundlage für Beratung und spätere Nachweise, statt Entscheidungen nur in einzelnen E-Mails festzuhalten.

Die Website ist Teil der Lieferkette – nicht nur eine Broschüre

Eine reine Informationsseite hat ein anderes Risikoprofil als ein Kundenportal, ein Shop oder eine Plattform mit Login. Sobald über die Website Termine gebucht, Verträge angebahnt, personenbezogene Daten verarbeitet, Zahlungen ausgelöst oder Kundenkonten verwaltet werden, entsteht eine betriebliche Abhängigkeit. Ein Ausfall kann dann Vertrieb, Kundenservice oder die Erbringung eines Dienstes beeinträchtigen.

Für die technische Aufnahme hilft ein vollständiges Bild der Beteiligten:

• Domain und DNS-Verwaltung inklusive der berechtigten Konten.
• Hosting, Content Delivery Network, Backups und Wiederherstellungsweg.
• Content-Management-System, Plugins, Schnittstellen und Admin-Zugänge.
• Formularversand, E-Mail-Dienst, CRM, Zahlungsanbieter und eingebettete Dienste.
• Agentur, Systemhaus oder Managed-Service-Provider mit Wartungs- und Notfallrechten.

Dabei geht es nicht darum, jede Komponente gleich streng zu behandeln. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen; Risikoexposition, Größe, Kosten sowie mögliche Schäden sind ausdrücklich Teil der Abwägung. Der Gesetzestext nennt unter anderem Risikoanalyse, Incident-Bewältigung, Backup und Wiederherstellung, Sicherheit der Lieferkette, Schwachstellenmanagement, Zugangskontrolle und Mehrfaktor-Authentifizierung als Mindestbereiche. § 30 BSIG im Wortlaut ist deshalb eine gute Arbeitsgrundlage für die erste Maßnahmenliste.

Für viele Unternehmen lohnt sich ein Realitätscheck: Wer kann die DNS-Einträge ändern? Wo liegen wiederherstellbare Backups? Welche externen Konten haben weitreichende Rechte? Wie schnell lässt sich ein kompromittierter Formular- oder Administrationszugang sperren? Ein WordPress-Sicherheitscheck beantwortet davon nur einen Teil. Bei NIS-2 muss der Ablauf zwischen Website, Dienstleistern und internen Verantwortlichen zusammenpassen.

Dienstleister so steuern, dass der Ernstfall nicht im Ticket-System endet

Auslagerung verlagert Arbeit, nicht Verantwortung. Unternehmen sollten in Verträgen und Arbeitsabläufen festhalten, wer Updates einspielt, wer Sicherheitswarnungen beobachtet, wann Zugangsdaten entzogen werden und wer im Notfall erreichbar ist. Das ist besonders wichtig, wenn Hosting, E-Mail, Website-Wartung und Marketing-Technik von unterschiedlichen Partnern betrieben werden.

Eine praxistaugliche Dienstleisterliste enthält mindestens System, Verantwortliche, Zugriffsart, Wiederherstellungsoption, Eskalationskontakt und Vertragsgrundlage. Für kritische Systeme kommen Servicezeiten, Reaktionszeiten und ein klarer Informationsweg bei Sicherheitsvorfällen hinzu. Der technische Zugang sollte nicht an einer einzelnen Privatadresse oder einem einzelnen Agentur-Account hängen.

Für die Website heißt das auch: Updates und Änderungen werden nachvollziehbar geplant, getestet und zurückgerollt. Eine Staging-Umgebung für sichere Updates ist dafür ein hilfreicher Baustein, ersetzt aber weder Backup-Tests noch ein geregeltes Berechtigungsmanagement. Wer einzelne Komponenten warten lässt, kann den Gesamtzustand über eine technische Website-Inspektion erfassen lassen.

Incident Response: Die ersten 24 Stunden müssen nicht improvisiert werden

Ein Sicherheitsvorfall kann von einer ungewöhnlichen Admin-Anmeldung über manipulierte Inhalte bis zu einem ausgefallenen Login oder einer kompromittierten Schnittstelle reichen. Für erfasste Einrichtungen ist die Frage relevant, ob ein erheblicher Sicherheitsvorfall vorliegt. § 2 BSIG beschreibt dies unter anderem über mögliche schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden für andere Personen oder Organisationen.

§ 32 BSIG sieht bei erheblichen Sicherheitsvorfällen ein gestuftes Vorgehen vor: eine frühe Erstmeldung spätestens innerhalb von 24 Stunden nach Kenntniserlangung, anschließend weitere Informationen innerhalb von 72 Stunden und einen Abschlussbericht spätestens nach einem Monat. Die genaue Bewertung und die Inhalte der Meldung gehören in einen dokumentierten Prozess; § 32 BSIG ist dafür die maßgebliche Quelle. Für Registrierung und Meldungen verweist das BSI auf sein BSI-Portal.

Ein nutzbarer Erstprozess umfasst fünf Entscheidungen:

1. Vorfall erfassen und Zeitpunkte, Systeme sowie Beobachtungen sichern.
2. Zugriff begrenzen oder betroffene Komponenten isolieren, ohne vorschnell Beweise zu überschreiben.
3. Auswirkungen auf Dienst, Daten und Kunden bewerten und die zuständigen Personen einbeziehen.
4. Dienstleister, Geschäftsleitung und bei Bedarf Rechts- oder Datenschutzverantwortliche über den vereinbarten Weg informieren.
5. Wiederherstellung, Ursache und Verbesserungen nachvollziehbar dokumentieren.

NIS-2-Meldungen und Datenschutzmeldungen sind nicht dasselbe. Ein Vorfall mit personenbezogenen Daten kann zusätzlich eine DSGVO-Bewertung auslösen. Der Ratgeber Datenschutzvorfall nach Website-Hack oder Malware erläutert diese zweite Perspektive. Teams sollten beide Abläufe verbinden, aber Fristen, Kriterien und Ansprechpartner nicht vermischen.

Geschäftsleitung, Technik und Redaktion brauchen gemeinsame Regeln

NIS-2 ist kein reines IT-Projekt. Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und überwachen; außerdem sind regelmäßige Schulungen zu Cyberrisiken und Risikomanagement vorgesehen. Das spricht gegen ein einmaliges Audit, dessen Maßnahmenliste danach im Projektordner verschwindet.

Für den Website-Betrieb genügt oft ein klarer, wiederholbarer Rhythmus: Zugänge quartalsweise prüfen, Wiederherstellung mindestens einmal testen, kritische Updates priorisiert behandeln, Dienstleisterkontakte aktuell halten und auffällige Ereignisse festhalten. Marketing und Redaktion gehören dazu, weil Kampagnen-Accounts, Tracking-Tags, Formulare und externe Einbindungen neue Angriffsflächen schaffen können. Der Beitrag Sicherheit im Online-Marketing zeigt, warum diese Ebene nicht losgelöst vom technischen Betrieb betrachtet werden sollte.

Der sinnvolle Einstieg ist kein Zertifikatskauf, sondern eine belastbare Bestandsaufnahme. Unternehmen gewinnen damit Klarheit über ihre Betroffenheit, die kritischen Abhängigkeiten und die Reihenfolge der Maßnahmen. Ob daraus eine formale NIS-2-Umsetzung oder ein allgemeinerer Sicherheitsfahrplan wird, lässt sich anschließend fundierter entscheiden.

Fazit: Von der Website-Liste zum belastbaren Sicherheitsprozess

NIS-2 für Unternehmen verlangt einen Blick über einzelne Sicherheitswerkzeuge hinaus. Betroffenheit, Dienstleister, Zugänge, Backups, Wiederherstellung und Meldewege müssen zusammengeführt werden. Gerade bei gewachsenen Websites ist diese Übersicht oft wertvoll, weil sie Zuständigkeiten sichtbar macht, bevor ein Vorfall unter Zeitdruck geklärt werden muss.

Wer die eigene Einordnung noch nicht kennt, sollte mit der BSI-Betroffenheitsprüfung beginnen und den Rechtsrahmen bei Bedarf fachlich prüfen lassen. Parallel kann eine technische Inventur der Website und ihrer Dienstleister schnell zeigen, welche operativen Fragen zuerst gelöst werden sollten.