Abmahn-Infos · Stand Oktober 2026

NIS2-Pflichten: Wer ist betroffen und was gilt für Ihre WordPress-Website?

Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. Die Pflichten mit Paragraf und Wortlaut, die Betroffenheitsprüfung in vier Schritten und was das für die Website heißt.

Kurz gesagt: Betroffen ist, wer eine Tätigkeit aus Anlage 1 oder 2 des BSI-Gesetzes ausübt und mindestens 50 Mitarbeiter hat oder je über 10 Millionen Euro Umsatz und Bilanzsumme (§ 28 BSIG). Die Pflichten: beim BSI registrieren (§ 33), Risikomanagement umsetzen und dokumentieren (§ 30), erhebliche Sicherheitsvorfälle melden (§ 32).

Könnte NIS2 Ihr Unternehmen treffen?

Ein Ja bei Frage 1 und 2 zusammen oder bei Frage 3 spricht dafür, dass Sie erfasst sind. Dann sollten auch Frage 4 und 5 mit Ja beantwortet sein. Die Einstufung mit Paragraf liefert unsere NIS2-Betroffenheitsprüfung; verbindlich ist im Zweifel die anwaltliche Prüfung.

Keine Rechtsberatung. Wir zitieren Gesetz, Gesetzesbegründung und BSI im Wortlaut. Ob Ihr Unternehmen betroffen ist, klärt eine Anwältin oder ein Anwalt.

Die NIS2-Pflichten mit Paragraf

Das BSI-Gesetz (BSIG) setzt die NIS-2-Richtlinie um. Für „besonders wichtige Einrichtungen und wichtige Einrichtungen“ gilt:

  • Registrieren (§ 33): beim BSI, „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten“ (Abs. 1); für von Anfang an Betroffene war das rechnerisch der 6. März 2026. Änderungen der Angaben sind „unverzüglich, spätestens jedoch binnen zwei Wochen“ ab Kenntnis zu übermitteln (Abs. 5).
  • Risikomanagement umsetzen und dokumentieren (§ 30): „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ (Abs. 1). Abs. 2 nennt zehn Mindestbereiche, darunter „Backup-Management und Wiederherstellung nach einem Notfall“ (Nr. 3), „Management und Offenlegung von Schwachstellen“ (Nr. 5) und „Multi-Faktor-Authentifizierung“ (Nr. 10). Dazu: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren“ (Abs. 1 Satz 3).
  • Erhebliche Sicherheitsvorfälle melden (§ 32 Abs. 1): „spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung“ eine „frühe Erstmeldung“ (Nr. 1), innerhalb von „72 Stunden“ eine Meldung mit erster Bewertung (Nr. 2), „spätestens einen Monat nach Übermittlung der Meldung“ die Abschlussmeldung (Nr. 4). Satz 2 schränkt ein: „Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.“
  • Geschäftsleitung (§ 38): Sie hat die Maßnahmen „umzusetzen und ihre Umsetzung zu überwachen“ (Abs. 1) und muss „regelmäßig an Schulungen teilnehmen“ (Abs. 3). Einen festen Abstand nennt der Paragraf nicht.
  • Bußgeld (§ 65): bei Risikomanagement, Dokumentation und Meldung „bis zu zehn Millionen Euro“ (besonders wichtige) und „bis zu sieben Millionen Euro“ (wichtige Einrichtungen, Abs. 5 Nr. 1), bei fehlenden Registrierungsangaben „bis zu fünfhunderttausend Euro“ (Abs. 5 Nr. 5). Über 500 Millionen Euro Gesamtumsatz gelten Prozentgrenzen (Abs. 6 und 7).

NIS2-Betroffenheitsprüfung: Bin ich betroffen?

Maßgeblich ist § 28 BSIG. Die Größe allein macht niemanden betroffen.

1. Die Tätigkeit. Die Anlagen nennen Einrichtungsarten, nicht ganze Branchen. Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum. Anlage 2: Post- und Kurierdienste, Abfall, chemische Stoffe, Lebensmittel, Verarbeitendes Gewerbe, „Anbieter digitaler Dienste“ und Forschung.

2. Die Größe. Wichtige Einrichtung ist, wer „mindestens 50 Mitarbeiter“ beschäftigt oder „einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro“ aufweist (Abs. 2 Nr. 3). Besonders wichtig ist, wer unter Anlage 1 fällt und „mindestens 250 Mitarbeiter“ beschäftigt oder „einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro“ aufweist (Abs. 1 Nr. 4). Gezählt wird nach der Empfehlung 2003/361/EG; verbundene Unternehmen sind „nicht hinzuzurechnen“, wenn das Unternehmen bei seiner IT „unabhängig“ von ihnen ist (Abs. 4). Ein einzelnes starkes Jahr genügt nach der Gesetzesbegründung nicht: Der Status wechselt erst, „wenn es in zwei aufeinanderfolgenden Geschäftsjahren zu einer Über- oder Unterschreitung der Größenschwelle kommt“ (S. 144).

3. Ohne Größenschwelle. Immer besonders wichtig sind „Betreiber kritischer Anlagen“ sowie „qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter“ (Abs. 1 Nr. 1 und 2). Telekommunikationsanbieter sind auch unter 50 Mitarbeitern erfasst (Abs. 2 Nr. 2).

4. Ausnahmen. „Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für“ Einrichtungen, die „ein öffentliches Telekommunikationsnetz betreiben“ oder Energienetze und -anlagen nach dem Energiewirtschaftsgesetz (Abs. 5). Für „Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554“ gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht (Abs. 6). § 33, die Registrierung, steht in beiden Aufzählungen nicht.

Was Website-Betreiber und Agenturen oft falsch einschätzen:

  • Onlineshop: „Anbieter digitaler Dienste“ sind nur Online-Marktplätze, Suchmaschinen und soziale Netzwerke (Anlage 2 Nr. 6). Ein Marktplatz ermöglicht Verträge „mit anderen Unternehmern oder Verbrauchern“ (§ 312l Abs. 2 BGB).
  • Webhosting: „reines Webhosting zählt in der Regel nicht zu Einrichtungsarten wie Cloudanbieter oder MSP“ (sektorspezifische FAQ des BSI).
  • Nameserver für Kunden: Laut denselben FAQ sind DNS-Diensteanbieter „unabhängig ihrer Größe“ verpflichtet, auch Einzelunternehmer.
  • Wartung für andere: „Managed Service Provider“ erbringen Dienste rund um „Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten“, auch „aus der Ferne“ (§ 2 Nr. 26 BSIG; Anlage 1 Nr. 6.1.10). Hier gelten die Größenschwellen.

Unsere NIS2-Betroffenheitsprüfung geht diese Schritte durch und nennt den Paragrafen. Verbindlich ist sie nicht, die des BSI auch nicht: Bleiben Unklarheiten, „empfehlen wir, externe juristische Unterstützung in Anspruch zu nehmen“ (FAQ des BSI).

Gehört die Website dazu?

Das Gesetz nennt die Website nicht ausdrücklich. § 30 Abs. 1 erfasst die „informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen“. Die Gesetzesbegründung liest das weit: Gemeint seien „sämtliche Aktivitäten der Einrichtung, für die IT-Systeme eingesetzt werden, dies beinhaltet beispielsweise auch Büro-IT oder andere IT-Systeme, die durch die Einrichtung betrieben werden“ (BT-Drucksache 21/1501, S. 147). Nach unserer Lesart fällt eine selbst betriebene WordPress-Website darunter; die Einordnung in Ihr Sicherheitskonzept trifft Ihr Informationssicherheitsbeauftragter oder Ihre Kanzlei.

Zu melden ist ein Einbruch, wenn er „erheblich“ ist: ein Sicherheitsvorfall, der „schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann“ oder andere „durch erhebliche materielle oder immaterielle Schäden“ beeinträchtigt (§ 2 Nr. 11 BSIG). Das klären Sie im Ernstfall sofort mit der Rechtsberatung.

Was Sie an der Website selbst tun können

Vier Punkte, je einem Mindestbereich aus § 30 Abs. 2 zugeordnet:

  1. Updates (Nr. 5): Core, Theme und Plugins aktuell halten, mit Backup davor. Der WordPress-Alters-Check zeigt von außen, wie veraltet eine Installation wirkt.
  2. Zugänge (Nr. 9 und 10): Zwei-Faktor-Anmeldung für alle Administratoren, verwaiste Konten löschen.
  3. Backups (Nr. 3): außerhalb des Webservers sichern und die Wiederherstellung einmal wirklich testen.
  4. Dokumentieren (Abs. 1 Satz 3): Wer betreut die Website, wie laufen Updates, wo liegen Backups?

Alle Schritte stehen im Blog WordPress für NIS2 härten; die Header prüft der Security-Header-Check.

Wo Selbermachen aufhört, und unser Angebot

Schwieriger wird es bei Protokollierung, einem Update-Prozess, der dauerhaft hält, und einer Dokumentation, die sich den Mindestbereichen zuordnen lässt.

Den laufenden Betrieb mit Updates, Backups und Überwachung übernimmt ein WordPress-Wartungsvertrag. Einzelne technische Maßnahmen wie die Zwei-Faktor-Anmeldung setzen wir über Entwickler-Stunden um, und was bei Ihrer Seite zuerst dran ist, klärt ein Beratungs-Call. Eine NIS2-Gesamtberatung, die Dokumentation für Ihre Nachweise und die rechtliche Prüfung leisten wir nicht. Weitere Pflichten für Websites: Website-Pflichten 2026.

Quellen

Alle Quellen abgerufen am 09.10.2026.

Häufige Fragen

Wer ist von NIS2 betroffen?

Wichtige Einrichtung ist nach § 28 Abs. 2 Nr. 3 BSIG, wer einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen ist und „mindestens 50 Mitarbeiter“ beschäftigt oder „einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro“ aufweist. Ohne Größenschwelle erfasst sind unter anderem Betreiber kritischer Anlagen und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1 und 2; gesetze-im-internet.de, abgerufen 09.10.2026). Den Einzelfall beurteilt eine Anwältin oder ein Anwalt.

Bis wann muss ich mich beim BSI registrieren?

Nach § 33 Abs. 1 BSIG „spätestens drei Monate“, nachdem das Unternehmen erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Ändern sich die Angaben, sind die Änderungen nach § 33 Abs. 5 „unverzüglich, spätestens jedoch binnen zwei Wochen“ ab Kenntnis zu übermitteln (gesetze-im-internet.de, abgerufen 09.10.2026).

Fällt eine Webagentur oder ein Hoster unter NIS2?

Das hängt von der Tätigkeit ab. Die sektorspezifischen FAQ des BSI sagen: „reines Webhosting zählt in der Regel nicht zu Einrichtungsarten wie Cloudanbieter oder MSP“. Wer dagegen autoritative Nameserver für Kunden betreibt, ist dort als DNS-Diensteanbieter „unabhängig ihrer Größe“ erfasst, auch als Einzelunternehmer (bsi.bund.de, abgerufen 09.10.2026). Den Einzelfall beurteilt eine Anwältin oder ein Anwalt.

Wie hoch sind die Bußgelder bei NIS2?

Bei Verstößen gegen Risikomanagement, Dokumentation und Meldepflichten nach § 65 Abs. 5 Nr. 1 BSIG „bis zu zehn Millionen Euro“ bei besonders wichtigen und „bis zu sieben Millionen Euro“ bei wichtigen Einrichtungen. Wer die Registrierungsangaben nicht oder nicht rechtzeitig übermittelt, riskiert „bis zu fünfhunderttausend Euro“ (§ 65 Abs. 2 Nr. 6, Abs. 5 Nr. 5; gesetze-im-internet.de, abgerufen 09.10.2026). Das sind Obergrenzen.

Zum Weiterlesen

NIS2-Betroffenheit jetzt prüfen →kostenlos, ohne Anmeldung