Was NIS2 für Ihre Website bedeutet — und was nicht
Seit Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Rund 30.000 Unternehmen fallen darunter, die Registrierungsfrist beim BSI ist im März 2026 abgelaufen, und die Geschäftsführung haftet persönlich. Kein Wunder, dass gerade jede Agentur nach „NIS2-Check" gefragt wird. Dieser Text sagt Ihnen zuerst das Unbequeme: Eine Website prüfen heißt nicht, NIS2 zu erfüllen. Und dann das Nützliche: welcher Teil der Anforderungen tatsächlich an Ihrer Website hängt.
Erst das Wichtigste: Ob Ihr Unternehmen überhaupt betroffen ist, klärt das BSI selbst — kostenlos und amtlich. Zur Betroffenheitsprüfung des BSI.
Die unbequeme Wahrheit zuerst
NIS2 betrifft die gesamte Organisation, nicht eine Website. Das Gesetz verlangt unter anderem Risikomanagement, Bewältigung von Sicherheitsvorfällen, Sicherung der Lieferkette, Notfallpläne, Schulungen für die Leitung und Meldungen an das BSI binnen 24 Stunden.
Ihre Website ist davon ein Ausschnitt — je nach Unternehmen ein kleiner. Wer Warenwirtschaft, Produktionssteuerung und Mailserver betreibt, für den ist die Website nicht das größte Risiko.
Deshalb sind wir bei einem Satz vorsichtig, den man derzeit oft liest: „Mit diesem Scan sind Sie NIS2-konform." Das kann kein automatischer Website-Scan leisten — weder unserer noch der eines Mitbewerbers. Wer es verspricht, verkauft Ihnen eine Sicherheit, die er nicht liefern kann. Im schlimmsten Fall halten Sie eine Pflicht für erledigt, die es nicht ist.
Was das Gesetz konkret verlangt
Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Wichtig für die Einordnung:
| Punkt | Stand |
|---|---|
| In Kraft seit | Dezember 2025 |
| Betroffen | rund 30.000 Unternehmen in 18 Sektoren |
| Schwelle „wichtig" | ab 50 Beschäftigten oder 10 Mio. € Umsatz |
| Schwelle „besonders wichtig" | ab 250 Beschäftigten oder 50 Mio. € Umsatz |
| Registrierung beim BSI | Frist im März 2026 abgelaufen — Nachholen ist Pflicht |
| Meldung eines Vorfalls | Erstmeldung binnen 24 Stunden |
| Verantwortung | Geschäftsführung, persönlich |
Das BSI formuliert es so: „Die NIS-2-Richtlinie macht Cybersicherheit zur Chefinnen- und Chefsache." Es geht also nicht um ein Häkchen in einem Prüfbericht, sondern um nachweisbare Prozesse — und um jemanden, der dafür geradesteht.
Der Teil, der wirklich an Ihrer Website hängt
Nun zum Nützlichen. Unter den Risikomanagement-Maßnahmen, die das Gesetz verlangt, gibt es Punkte, die man an einer Website tatsächlich messen kann. Sie ersetzen keine NIS2-Umsetzung — aber sie gehören dazu, und sie sind der Teil, den Sie heute abhaken können:
| Was NIS2 verlangt | Was das an der Website heißt |
|---|---|
| Kryptografie und Verschlüsselung | Gültiges Zertifikat, TLS 1.2 oder neuer, keine veralteten Verfahren, HTTPS erzwungen |
| Umgang mit Schwachstellen | Keine veralteten Systeme und Bibliotheken mit bekannten Lücken, kein preisgegebener Versionsstand |
| Sicherheit der Lieferkette | Welche fremden Dienste sind eingebunden, aus welchen Ländern, mit welchem Zugriff |
| Zugangskontrolle | Verwaltungsbereiche nicht offen im Netz, keine zugänglichen Konfigurations- oder Sicherungsdateien |
| Erkennung und Meldung von Vorfällen | Ein erreichbarer Meldeweg (security.txt), damit ein Finder Sie überhaupt erreichen kann |
| Verfügbarkeit und Notfallbetrieb | Erreichbarkeit überwacht, Ausfälle bemerkt und dokumentiert |
Diese sechs Punkte prüft unser Scanner ohnehin — sie sind Teil der regulären Prüfung, nicht ein Zusatzpaket mit NIS2-Aufkleber. Was Sie davon haben: Sie können bei einer Prüfung belegen, dass der technische Teil Ihrer Website in Ordnung ist und dass Sie Veränderungen bemerken.
Was ein Website-Scan nicht leisten kann
Damit die Grenze klar ist — folgende Anforderungen aus NIS2 kann kein Scanner erfüllen:
- Ein Risikomanagementsystem für das ganze Unternehmen aufbauen
- Notfall- und Wiederanlaufpläne schreiben und üben
- Lieferantenverträge auf Sicherheitsanforderungen prüfen
- Die Geschäftsführung schulen — das Gesetz verlangt das ausdrücklich
- Vorfälle binnen 24 Stunden an das BSI melden
- Zugriffsrechte, Passwortverfahren und Mehr-Faktor-Anmeldung im Unternehmen regeln
- Ihre internen Systeme prüfen, die gar nicht aus dem Netz erreichbar sind
Wer Ihnen das als „NIS2-Modul" verkauft, meint entweder etwas anderes oder verspricht zu viel.
Was Agenturen ihren Kunden jetzt sagen können
Die häufigste Situation gerade: Ein Kunde ruft an, hat von NIS2 gelesen und fragt, ob seine Website „das erfüllt". Eine ehrliche Antwort in drei Sätzen:
- Ob Sie überhaupt betroffen sind, klärt das BSI — mit der amtlichen Betroffenheitsprüfung. Das ist keine Einschätzung, die eine Agentur abgeben sollte.
- Falls ja, ist die Website ein kleiner Teil davon. Der große Teil sind Prozesse, Verträge und Meldewege — dafür brauchen Sie Beratung, kein Prüfwerkzeug.
- Den technischen Teil an der Website können wir belegen — heute, mit Bericht und mit Verlauf, damit Sie zeigen können, dass es nicht nur einmal stimmte.
Diese Antwort verkauft weniger als „wir machen Sie NIS2-konform". Sie hält dafür der ersten Nachfrage stand.
Den technischen Teil prüfen: Verschlüsselung, Schwachstellen, eingebundene Fremddienste, offene Verwaltungsbereiche und Meldeweg — kostenlos, ohne Anmeldung.
Häufige Fragen
Sind wir mit einem grünen Prüfbericht NIS2-konform?
Nein. Ein grüner Bericht sagt, dass der technische Teil Ihrer Website in Ordnung ist. NIS2 verlangt darüber hinaus Prozesse, Meldewege und Nachweise für das ganze Unternehmen.
Wir haben weniger als 50 Mitarbeiter — betrifft uns NIS2?
Wahrscheinlich nicht direkt, aber prüfen Sie es mit der Betroffenheitsprüfung des BSI: Es gibt Sektoren ohne Größenschwelle, und Sie können mittelbar betroffen sein, wenn Sie ein betroffenes Unternehmen beliefern — dessen Lieferkettenpflichten reichen dann bis zu Ihnen.
Wir haben die Registrierungsfrist verpasst. Was jetzt?
Die Frist lief im März 2026 ab, die Pflicht bleibt bestehen. Das BSI fordert betroffene Einrichtungen ausdrücklich auf, sich unverzüglich nachzuregistrieren. Das läuft über das BSI-Portal mit einem ELSTER-Organisationszertifikat.
Reicht es, die Website einmal prüfen zu lassen?
Für einen Nachweis nicht. Ein Zertifikat läuft ab, ein Plugin wird veraltet, ein neuer Dienst wird eingebunden — der Zustand von heute sagt nichts über den von nächstem Monat. Was zählt, ist, dass Sie Veränderungen bemerken und belegen können.
Ist das hier eine Rechtsberatung?
Nein. Dieser Text ordnet die technische Seite ein und nennt seine Quellen. Ob und wie NIS2 für Ihr Unternehmen gilt, welche Fristen und Nachweise für Sie gelten und wie Sie die organisatorischen Pflichten erfüllen, klärt eine Rechtsberatung oder eine spezialisierte Beratung.
Quellen
- BSI — NIS-2-regulierte Unternehmen, u.a. zur Registrierungspflicht und zur Verantwortung der Leitung
- BSI — Betroffenheitsprüfung NIS-2
- OpenKRITIS — NIS2-Umsetzungsgesetz, zu Schwellenwerten, Fristen und den Maßnahmen nach § 30
Stand: 9. August 2026. Angaben zu Bußgeldhöhen haben wir bewusst weggelassen — die uns vorliegenden Quellen weichen dort voneinander ab, und eine falsche Zahl wäre hier schlimmer als keine.