Es gibt allerdings eine Minderheit, für die das sehr real ist, und es gibt Ausnahmen, die man im eigenen Unternehmen leicht übersieht. Dieser Text soll Ihnen in fünf Minuten zeigen, auf welcher Seite Sie stehen, und außerdem den Teil des Themas, der auch nicht betroffene Shops angeht. Ein Hinweis vorab, den wir weiter unten wiederholen: das ist keine Rechtsberatung.
Was sich geändert hat und welche Fristen zählen
NIS2 ist die Richtlinie (EU) 2022/2555. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie in nationales Recht umzusetzen. Eine Richtlinie bindet Ihr Unternehmen nicht unmittelbar: verbindlich ist das nationale Gesetz, das sie in dem Land umsetzt, in dem Ihr Unternehmen seinen Sitz hat.
In Deutschland ist das NIS2UmsuCG am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301). Die Registrierung betroffener Einrichtungen erfolgt über das Portal des BSI, und die gesetzliche Registrierungsfrist ist bereits abgelaufen. Wenn Sie nach dem Test unten zu dem Ergebnis kommen, dass Sie betroffen sind, ist das kein Thema für das nächste Quartal, sondern eines für diese Woche und für eine anwaltliche Prüfung.
Betreiben Sie zusätzlich Gesellschaften in anderen Mitgliedstaaten, prüfen Sie diese getrennt. Umsetzungsstand und Registrierungsfristen unterscheiden sich von Land zu Land, ein Teil der Staaten ist im Rückstand.
Wen die Richtlinie erfasst
Grundsätzlich erfasst NIS2 mittlere und große Einrichtungen, in ausgewählten Fällen auch unabhängig von der Größe. Die Unternehmensgröße allein entscheidet also nichts, solange Sie nicht geprüft haben, ob Sie eine Tätigkeit aus der Liste der Sektoren ausüben.
Erfasst sind unter anderem: Online Marktplätze, die Verwaltung von IKT Diensten, der Großhandel mit Lebensmitteln, Herstellung und Vertrieb von Chemikalien, Post und Kurierdienste, Abfall und Abwasserwirtschaft, Weltraum sowie Forschung. Die Einrichtungen werden in wesentliche und wichtige unterteilt, und von dieser Einteilung hängt unter anderem die maximale Höhe eines Bußgelds ab.
Mehrere Punkte dieser Liste klingen, als hätten sie mit Onlinehandel nichts zu tun, und sitzen trotzdem in genau derselben Gesellschaft, die den Shop betreibt. Lebensmittelgroßhandel und Kurierdienste sind die häufigsten Überraschungen.
Ein Onlineshop ist nicht dasselbe wie ein Online Marktplatz
Das ist der Kern des ganzen Textes, deshalb sagen wir es so deutlich wie möglich. Ein Online Marktplatz bringt Verkäufer und Käufer zusammen: er stellt die Infrastruktur bereit, auf der zwei andere Parteien den Vertrag schließen, der Betreiber ist Vermittler. Ein Onlineshop verkauft im eigenen Namen: Sie sind der Verkäufer, Sie stellen den Beleg aus, Sie haften für die Ware.
Deshalb ist ein normaler Shop mit eigener Ware kein Online Marktplatz und aus diesem Grund in der Regel nicht betroffen. Entscheidend ist die Art der Tätigkeit, nicht die Plattform und nicht die Größe des Warenkorbs.
Es gibt jedoch drei Situationen, in denen die Antwort anders ausfällt.
Erstens: ein Marktplatz im eigenen Shop. Wenn Sie externe Verkäufer zugelassen haben, die bei Ihnen eigenes Sortiment anbieten und den Vertrag direkt mit dem Käufer schließen, sind Sie nicht mehr nur ein Shop. Das ist das häufigste Szenario, in dem der Ausbau des Angebots still und leise den Status des Unternehmens verändert.
Zweitens: eine andere Tätigkeit in derselben Gesellschaft. Betreibt dieselbe Gesellschaft zum Beispiel auch Lebensmittelgroßhandel, kann sie aus diesem Grund betroffen sein und nicht wegen des Shops.
Drittens: kapitalmäßige Verflechtungen mit einer betroffenen Einrichtung. Ist Ihre Gesellschaft Teil einer größeren Struktur, fällt die Entscheidung nicht auf der Ebene des Shops allein.
Der Test in fünf Fragen
Beantworten Sie fünf Fragen. Das ist kein Rechtsgutachten und ersetzt keinen Anwalt, es ist ein Werkzeug, um Ihre Lage vor diesem Gespräch zu sortieren.
- Verkaufen in meinem Shop auch externe Anbieter und schließen den Vertrag direkt mit dem Käufer?
- Übt dieselbe Gesellschaft eine Tätigkeit aus der Sektorenliste aus, zum Beispiel Lebensmittelgroßhandel, Herstellung oder Vertrieb von Chemikalien, Post oder Kurierdienste, Verwaltung von IKT Diensten?
- Ist meine Gesellschaft kapitalmäßig mit einer Einrichtung verflochten, die selbst betroffen ist?
- Ist mein Unternehmen eine mittlere oder große Einrichtung?
- Habe ich bereits ein Schreiben von einem Geschäftspartner, einer Bank oder einem Versicherer erhalten, das sich auf NIS2 beruft und nach meinem Status fragt?
Lauten die Antworten auf die Fragen eins bis drei nein und ist das Unternehmen weder mittel noch groß, sind Sie wahrscheinlich nicht betroffen. Lautet eine dieser Antworten ja und sind Sie zugleich eine mittlere oder große Einrichtung, werten Sie das als Signal, dass Sie wahrscheinlich betroffen sind und dass ein Anwalt dringend nötig ist, denn die Registrierungsfrist ist bereits abgelaufen. Sind die Antworten uneindeutig, etwa weil die Größenschwelle knapp ist, gilt das dritte Ergebnis: das muss ein Anwalt bestätigen. Im Zweifel entscheidet der Anwalt, nicht die Agentur, die den Shop betreut.
Was eine betroffene Einrichtung tut
Wenn der Test "ich bin betroffen" ergibt, sehen die Pflichten grob so aus. Erstens die Registrierung in der Form und Frist, die das nationale Recht vorsieht. Zweitens Risikomanagement, also ein dokumentierter Umgang mit dem, was schiefgehen kann. Drittens die Meldung erheblicher Sicherheitsvorfälle mit konkreten Fristen: Frühwarnung innerhalb von 24 Stunden nach Kenntnis, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Viertens Sicherheit der Lieferkette, also Verantwortung dafür, wen Sie in Ihre Systeme lassen.
Sehen Sie sich an, was diese Fristen praktisch bedeuten. Eine Meldung innerhalb von 24 Stunden setzt voraus, dass jemand den Vorfall überhaupt bemerkt und die Uhrzeit notiert hat. Ohne Ticketregister mit Datum lässt sich das nicht glaubhaft machen, und genau das ist der Bereich, den wir im Text über die häufigsten Störungen in Onlineshops beschrieben haben.
Bußgelder, die Zahl, die alle zitieren
Für wesentliche Einrichtungen reicht das Bußgeld bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4%. Diese Spannen stammen aus der Richtlinie selbst.
Und der ehrliche Teil, den man im Verkaufsgespräch selten hört: das sind Obergrenzen, keine Standardbeträge, sie gelten für tatsächlich betroffene Einrichtungen, und Verfahren wie Aufsicht sind national geregelt. Einem Shop außerhalb des Anwendungsbereichs entgegengehalten, hat die Zahl von zehn Millionen mit diesem Shop schlicht nichts zu tun.
Der Teil, der ALLE Shops betrifft, auch die nicht betroffenen
Hier ist der eigentliche Grund, diesen Text auch nach der Antwort "ich bin nicht betroffen" zu lesen. Sicherheit der Lieferkette wirkt in beide Richtungen. Wenn Ihr B2B Kunde, Ihr Distributor oder Ihr großer Geschäftspartner eine betroffene Einrichtung ist, haftet er für die Sicherheit seiner Lieferanten. Und Sie sind einer seiner Lieferanten.
In der Praxis wird er Konkretes verlangen: ein Register der Lieferanten und Subunternehmer, Verträge mit Sicherheitsklauseln, ein Meldeverfahren für Vorfälle auf Ihrer Seite, den Nachweis, dass Aktualisierungen eingespielt werden und wie schnell. Deshalb bekommt auch ein nicht betroffener Shop einen Sicherheitsfragebogen. Nicht weil das Gesetz den Shop erfasst, sondern weil es seinen Geschäftspartner erfasst. Aus unserer Praxis ist das heute der häufigere Fall als die Registrierung selbst, und ein Shop ohne Unterlagen improvisiert.
Was sich bei der normalen Wartung vorbereiten lässt
Die gute Nachricht: das meiste, wonach ein Fragebogen fragt, ist kein eigenes Compliance Projekt, sondern Dokumentation, die bei der Wartung des Shops ohnehin entstehen sollte. Bei uns sieht das so aus.
Ein Register der Lieferanten und Integrationen: wer Zugriff hat, welche Integrationen angebunden sind, wer dafür verantwortlich ist. Aktualisierungen mit Frist: kritische innerhalb von 72 Stunden, die übrigen innerhalb von 14 Tagen, zuerst auf der Testumgebung, mit Vermerk, was wann eingespielt wurde. Das ist unser eigener Servicestandard, keine gesetzliche Frist, und nicht mit der Meldefrist für Vorfälle zu verwechseln. Sicherungen mit Wiederherstellungstest einmal im Quartal, denn eine Sicherung ohne Test ist eine Behauptung und kein Schutz. Klassifizierung und ein Ticketregister mit Datum, damit nachvollziehbar bleibt, wann etwas bemerkt wurde und was danach geschah. Eine Notiz nach der Störung, die zeigt, dass jemand die Ursache ermittelt und den Shop nicht nur wieder hochgefahren hat.
Wir sagen es deutlich, weil das die Linie unserer gesamten Wissensdatenbank ist: das ist keine gesetzliche Compliance und wir verkaufen keine NIS2 Konformität. Es ist technische Dokumentation, die Compliance braucht, die auch der Fragebogen eines Partners braucht, und die die meisten Shops nicht haben. Wie solche Klauseln im Vertrag aussehen, haben wir im Text über den SLA Vertrag für den Onlineshop beschrieben, Kostenspannen im Text darüber, was die Wartung eines Onlineshops kostet.
Wenn der Test "ich bin nicht betroffen" ergibt, kaufen Sie keine NIS2 Umsetzung. Wenn Sie Unterlagen wollen, die Sie einem Geschäftspartner ohne Improvisation zeigen können, prüfen wir sie im Rahmen der normalen Wartung: Register der Zugänge und Integrationen, Aktualisierungsfristen, Wiederherstellungstest der Sicherung, Ticketregister. Details unter /de/sla-help-desk.