NIS2-Richtlinie: IT-Sicherheitspflichten für Online-Händler

1. Was ist die NIS2-Richtlinie und worum geht es?

NIS2 steht für "Network and Information Security 2" und ist der Kurzname für die EU-Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Eine Richtlinie ist dabei kein Gesetz, das automatisch überall gilt, sondern eine Vorgabe der EU, die jedes Mitgliedsland in eigenes nationales Recht umsetzen muss. Das unterscheidet eine Richtlinie von einer EU-Verordnung, die unmittelbar gilt, ohne dass ein nationales Gesetz dazwischengeschaltet ist. Genau das ist bei NIS2 wichtig zu verstehen: Die eigentlichen Pflichten für Unternehmen entstehen erst über das jeweilige nationale Umsetzungsgesetz, in Deutschland also über ein eigenes Gesetz zur Umsetzung der Richtlinie.

Inhaltlich geht es bei NIS2 um ein einfaches Grundanliegen: Bestimmte Unternehmen, die als besonders wichtig für Wirtschaft und Gesellschaft gelten, sollen ein Mindestniveau an Cybersicherheit einhalten. Cybersicherheit meint dabei ganz allgemein Maßnahmen, die Computersysteme, Netzwerke und Daten vor Angriffen, Ausfällen und Datenverlust schützen, etwa durch Zugriffskontrollen, Backups oder klare Abläufe, wenn doch einmal etwas schiefgeht. NIS2 löst dabei eine ältere, deutlich engere Vorgängerregelung ab, die bislang nur wenige Sektoren wie Energie oder Wasser erfasste, und weitet den Anwendungsbereich auf deutlich mehr Branchen aus.

Für Sie als Online-Händler ist zunächst die wichtigste Botschaft: NIS2 richtet sich nicht an "das Internet" oder "alle Webshops" im Allgemeinen, sondern gezielt an bestimmte Unternehmenstypen und Größenordnungen. Ein klassischer Shop, der physische Ware verkauft, ist deshalb nicht automatisch erfasst, nur weil er online stattfindet. Wie genau die Abgrenzung aussieht und warum das Thema trotzdem nicht komplett ignoriert werden sollte, erklären wir in den folgenden Abschnitten.

2. Seit wann gilt sie, ab wann wird sie relevant?

Die NIS2-Richtlinie ist auf EU-Ebene bereits seit dem 16. Januar 2023 in Kraft. Das bedeutet: Seit diesem Datum steht fest, welche Anforderungen die EU an ihre Mitgliedstaaten stellt, auch wenn daraus noch keine unmittelbare Pflicht für einzelne Unternehmen entstand. Die Mitgliedstaaten hatten die Aufgabe, die Richtlinie bis zum 17. Oktober 2024 in eigenes nationales Recht umzusetzen, also ein entsprechendes Gesetz zu verabschieden, das konkrete Pflichten für betroffene Unternehmen festlegt.

In Deutschland ist dieses Umsetzungsgesetz, oft als NIS2UmsuCG abgekürzt, bislang nicht wie ursprünglich geplant fristgerecht in Kraft getreten. Die deutsche Umsetzung hat sich verzögert, der genaue Zeitpunkt des endgültigen Inkrafttretens war zum Zeitpunkt dieses Artikels noch nicht abschließend absehbar. Das klingt zunächst nach einer guten Nachricht für alle, die das Thema lieber aufschieben würden, ist es aber nur bedingt.

Auch ohne fertiges deutsches Gesetz gilt die inhaltliche Richtung, die NIS2 vorgibt, auf EU-Ebene bereits. Banken, größere Plattformen, Versicherer und viele B2B-Kunden orientieren sich schon jetzt an den Grundgedanken von NIS2, wenn sie ihre eigenen Lieferanten und Partner nach Sicherheitsmaßnahmen fragen. Wer glaubt, das Thema sei erst relevant, sobald das deutsche Gesetz vollständig in Kraft ist, unterschätzt, wie schnell sich solche Erwartungen bereits über Verträge und Fragebögen in der Praxis verbreiten. Der spätere Blick auf die formale Rechtslage ändert also wenig daran, dass die praktischen Auswirkungen schon jetzt spürbar sein können.

3. Wer ist betroffen, gilt das auch für mittlere und kleine Online-Händler?

NIS2 unterscheidet zwischen "wichtigen" und "besonders wichtigen" Einrichtungen und listet dafür bestimmte Sektoren auf, etwa Energie, Verkehr, Bankwesen, Gesundheitswesen, digitale Infrastruktur und öffentliche Verwaltung. Innerhalb dieser Sektoren sind in der Regel mittlere und große Unternehmen gemeint, üblicherweise mit einer gewissen Mindestzahl an Beschäftigten oder einem Mindestjahresumsatz beziehungsweise einer entsprechenden Bilanzsumme. Ein reiner Onlineshop, der eigene physische Produkte verkauft, taucht in dieser Sektorenliste normalerweise nicht auf und ist deshalb allein aufgrund seines Geschäftsmodells nicht direkt erfasst.

Anders sieht es bei sogenannten digitalen Diensteanbietern aus. Große Online-Marktplätze, Online-Suchmaschinen, Cloud- und Hosting-Anbieter sowie Plattformen für soziale Netzwerke gelten als eigene Kategorie und sind ausdrücklich von NIS2 erfasst, sofern sie die entsprechenden Größenkriterien erfüllen. Wer also selbst eine größere Marktplatz-Funktion betreibt, auf der andere Händler verkaufen, oder ein Hosting- beziehungsweise Cloud-Angebot für Dritte bereitstellt, sollte die eigene Einordnung genauer prüfen, denn hier verschwimmt die Grenze zwischen "normalem Shop" und "digitalem Diensteanbieter" schneller, als man zunächst denkt.

Für die meisten klassischen mittleren und kleinen Online-Händler bleibt die ehrliche Antwort: Direkt betroffen sind Sie in der Regel nicht. Indirekt kann NIS2 Sie aber trotzdem erreichen, nämlich immer dann, wenn Sie Zulieferer oder Dienstleister eines größeren, selbst von NIS2 erfassten Unternehmens sind. Solche Unternehmen geben ihre eigenen Sicherheitsanforderungen häufig vertraglich an ihre Geschäftspartner weiter, etwa in Form von Sicherheitsfragebögen, Mindestanforderungen an Zugriffskontrollen oder Nachweisen zu Backup-Routinen. Auch wenn Sie also nicht direkt unter NIS2 fallen, lohnt sich ein Blick auf die Grundanforderungen, weil Banken, Zahlungsdienstleister, größere B2B-Kunden oder Plattform-Partner die Erwartungen an Cybersicherheit derzeit ohnehin spürbar anheben.

4. Was Sie konkret tun sollten

Auch wenn Sie nach heutigem Stand nicht direkt unter NIS2 fallen, lohnt sich ein nüchterner Blick auf die eigene Grundabsicherung, weil sich die dahinterstehenden Erwartungen an Sicherheit in der gesamten Wirtschaft gerade verschieben. Der erste sinnvolle Schritt ist eine ehrliche Bestandsaufnahme: Wer hat Zugriff auf Ihr Shop-Backend, wie aktuell ist die eingesetzte Software, und gibt es überhaupt eine funktionierende Backup-Routine, die im Ernstfall auch tatsächlich getestet wurde.

Ein zweiter wichtiger Punkt ist der Blick auf Ihre Geschäftspartner. Fragen größere B2B-Kunden, Zahlungsdienstleister oder Plattform-Partner bereits nach Sicherheitsnachweisen, ist das ein deutliches Signal, sich mit dem Thema aktiv zu beschäftigen, statt es auszusitzen. Solche Anfragen häufen sich erfahrungsgemäß genau in den Branchen, in denen ohnehin viele größere, selbst NIS2-relevante Unternehmen als Kunden auftreten.

Drittens ist es sinnvoll, innerhalb des eigenen Unternehmens klare Verantwortlichkeiten festzulegen: Wer kümmert sich um Updates, wer verwaltet Zugänge, und wer wäre im Fall eines tatsächlichen Sicherheitsvorfalls die erste Ansprechperson. Gerade in kleineren Teams verteilt sich diese Verantwortung sonst unbewusst auf niemanden, was im Ernstfall wertvolle Zeit kostet.

6. Bußgelder und Risiken bei Nichteinhaltung

Für Unternehmen, die tatsächlich direkt unter NIS2 fallen, sieht die Richtlinie ein Bußgeldsystem vor, das in seiner Struktur an die aus der Datenschutz-Grundverordnung bekannten Regelungen erinnert. Die Bußgelder können sich am Umsatz des Unternehmens orientieren und in ernsten Fällen empfindlich ausfallen. Konkrete Beträge hängen dabei stark davon ab, wie die nationale Umsetzung im Detail ausgestaltet wird, weshalb an dieser Stelle bewusst keine feste Zahl genannt wird, sondern nur die grundsätzliche Größenordnung eingeordnet werden soll.

Neben den eigentlichen Bußgeldern sieht NIS2 auch eine persönliche Verantwortung der Geschäftsleitung erfasster Unternehmen vor. Wer als Geschäftsführung eines direkt betroffenen Unternehmens erforderliche Sicherheitsmaßnahmen nicht genehmigt oder deren Umsetzung nicht überwacht, kann persönlich zur Verantwortung gezogen werden, unabhängig von einem Bußgeld gegen das Unternehmen selbst.

Für die meisten mittleren und kleinen Online-Händler, die nicht direkt erfasst sind, liegt das eigentliche Risiko woanders: Wer als Zulieferer oder Dienstleister eines größeren, NIS2-relevanten Unternehmens die geforderten Sicherheitsnachweise nicht erbringen kann, riskiert schlicht den Verlust dieses Geschäftspartners. Größere Unternehmen verlangen von ihren Lieferanten inzwischen häufig vertragliche Zusicherungen zur IT-Sicherheit und wählen im Zweifel einen Anbieter, der diese Fragen sauber beantworten kann. Dieses wirtschaftliche Risiko trifft in der Praxis oft härter als ein theoretisches Bußgeld, gerade weil es unmittelbar den Umsatz betrifft.

7. Häufige Irrtümer und Missverständnisse

Ein weit verbreiteter Irrtum lautet: "NIS2 betrifft nur kritische Infrastruktur wie Kraftwerke oder Wasserwerke, mit meinem Onlineshop hat das nichts zu tun." Das greift zu kurz, denn NIS2 erfasst inzwischen auch mehrere digitale Diensteanbieter-Kategorien, und über Lieferketten wirkt sich das Thema deutlich breiter aus, als der Name "kritische Infrastruktur" zunächst vermuten lässt. Ein zweiter Irrtum ist die Annahme: "Solange mein Land die Umsetzung noch nicht abgeschlossen hat, kann ich das Thema komplett ignorieren." Das ist riskant, weil die inhaltliche Richtung von NIS2 auf EU-Ebene bereits feststeht und größere Geschäftspartner ihre eigenen Erwartungen längst danach ausrichten, unabhängig vom Stand des deutschen Gesetzgebungsverfahrens.

Ein dritter Irrtum betrifft die technische Seite: "Eine Firewall und ein aktuelles Antivirenprogramm reichen aus, um auf der sicheren Seite zu sein." NIS2-ähnliche Erwartungen gehen deutlich weiter und umfassen auch geordnete Abläufe für den Ernstfall, funktionierende Backup-Routinen, ein sauberes Zugriffsmanagement für Mitarbeitende und einen Blick auf die Sicherheit der eigenen Zulieferer, nicht nur einzelne technische Werkzeuge. Ein vierter, seltener genannter Irrtum ist die Annahme, ein kleiner Shop sei ohnehin zu unbedeutend, um jemals in eine solche Diskussion hineingezogen zu werden. Gerade weil größere Unternehmen ihre Anforderungen konsequent an alle Lieferanten weitergeben, kann auch ein vergleichsweise kleiner Betrieb schneller mit einem Sicherheitsfragebogen konfrontiert werden, als es zunächst naheliegend erscheint.

8. Was wir für Sie übernehmen können

Wir wissen, dass Begriffe wie NIS2, Risikomanagement oder Meldepflicht für Shop-Betreiber zunächst abschreckend klingen, obwohl es im Kern meist um ganz praktische, gut lösbare Punkte geht. Mironsoft übernimmt für Sie eine unaufgeregte, technische Bestandsaufnahme Ihres Shops: Wir prüfen gemeinsam mit Ihnen, wie Zugriffsrechte und Admin-Konten aktuell organisiert sind, wie es um Backup- und Update-Routinen steht, und ob es aus Ihrem Geschäftsumfeld bereits erste Anfragen zu Sicherheitsnachweisen gibt.

Sollten größere B2B-Kunden, Banken oder Plattform-Partner Ihnen einen Sicherheitsfragebogen zuschicken, unterstützen wir Sie dabei, diesen sachlich und realistisch zu beantworten, ohne dass Sie sich selbst tief in juristische oder technische Details einarbeiten müssen. Bei tatsächlich rechtlich komplexeren Fragen, etwa zur genauen Einordnung Ihres Unternehmens, arbeiten wir eng mit spezialisierten Kanzleien zusammen oder vermitteln bei Bedarf einen passenden Kontakt.

Ziel ist dabei immer ein kostenloses Erstgespräch, in dem wir gemeinsam einschätzen, wie relevant das Thema für Ihren konkreten Shop tatsächlich ist, statt Ihnen pauschal ein aufwendiges Sicherheitsprojekt zu verkaufen, das Sie vielleicht gar nicht in diesem Umfang benötigen. So bekommen Sie Klarheit, bevor Sie irgendeine Entscheidung treffen müssen, und behalten die Kontrolle über Aufwand und Budget.

9. Zusammenfassung

Die NIS2-Richtlinie ist seit dem 16. Januar 2023 auf EU-Ebene in Kraft und richtet sich in erster Linie an größere Unternehmen bestimmter Sektoren sowie an digitale Diensteanbieter wie große Marktplätze, Suchmaschinen oder Cloud-Anbieter. Ein klassischer mittlerer oder kleiner Onlineshop, der physische Ware verkauft, fällt in der Regel nicht direkt darunter. Trotzdem lohnt sich ein Blick auf die Grundanforderungen, weil Banken, Zahlungsdienstleister und größere B2B-Kunden ihre eigenen Erwartungen an Cybersicherheit bereits daran ausrichten und diese Erwartungen vertraglich an ihre Lieferanten weitergeben.

Die deutsche Umsetzung der Richtlinie hat sich verzögert, was jedoch nicht bedeutet, dass das Thema für die Praxis bedeutungslos wäre. Wer frühzeitig die eigene Grundabsicherung prüft, Zugriffsrechte ordnet und funktionierende Backups sicherstellt, reduziert sowohl das rechtliche als auch das wirtschaftliche Risiko spürbar. Dieser Artikel bietet eine allgemeine Einordnung und ersetzt keine individuelle Rechtsberatung für Ihren konkreten Fall.

10. FAQ: NIS2-Richtlinie und Online-Handel

Dieser Artikel bietet eine allgemeine Einordnung zur NIS2-Richtlinie und ersetzt keine individuelle Rechtsberatung für Ihren konkreten Fall.