NIS2 und die Unternehmenswebsite: Warum Ihre WordPress-Site jetzt zum Pflichtprogramm gehört

Worum es geht

Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft. Es weitet die Cybersicherheits-Pflichten drastisch aus: Statt der bisher rund 4.500 Unternehmen unter BSI-Aufsicht sind es jetzt etwa 29.500 — betroffen ist, wer in einem der 18 regulierten Sektoren tätig ist (unter anderem Energie, Produktion, Logistik, Chemie, Abfall) und mindestens 50 Mitarbeiter oder 10 Millionen Euro Umsatz hat.

Die Pflichten: Registrierung beim BSI über das MUK-Portal (muk.bsi.bund.de), Umsetzung der zehn Kernmaßnahmen nach § 30 BSIG — darunter Risikomanagement, Zugriffskontrolle, Backups, Patch-Management und Vorfallserkennung — sowie eine 24-Stunden-Meldepflicht bei erheblichen Sicherheitsvorfällen. Bei Verstößen drohen Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Die Registrierungsfrist (6. März 2026, Nachfrist bis 31. Juli 2026) ist bereits abgelaufen — wer betroffen ist und noch nicht registriert, sollte das umgehend nachholen.

Warum ausgerechnet die Website?

In NIS2-Projekten geht es um ERP, Produktionsnetze und Firewalls — die WordPress-Website läuft nebenher. Dabei ist sie oft das exponierteste System des ganzen Unternehmens:

• Öffentlich erreichbar, rund um die Uhr, für jeden Angreifer weltweit
• Voller Drittanbieter-Code: Themes und Plugins von Dutzenden Herstellern, jedes mit eigenem Update-Zyklus und eigenen Lücken
• Oft ohne Update-Prozess: einmal von einer Agentur gebaut, seitdem läuft sie
• Mit Zugangsdaten verknüpft: Admin-Konten, Datenbank, Mail-Versand

Die Kernmaßnahmen des § 30 BSIG — Patch-Management, Zugriffskontrolle, Backups, Vorfallserkennung — gelten für die IT des Unternehmens, und die Website gehört dazu. Eine gehackte Firmenwebsite ist ein meldepflichtiger Sicherheitsvorfall wie jeder andere, nur eben einer, den auch Kunden und Suchmaschinen sofort sehen.

Bin ich betroffen? Der Selbsttest

Erst die Unternehmensebene:

1. Sind Sie in einem der 18 Sektoren tätig — etwa Energie, Produktion, Logistik, Chemie oder Abfall?
2. Haben Sie 50 oder mehr Mitarbeiter oder mehr als 10 Millionen Euro Umsatz? (Eines von beiden genügt.)
3. Beide Fragen ja: Sie fallen mit hoher Wahrscheinlichkeit unter NIS2 — die verbindliche Einstufung klärt bei rechtlichen Fragen eine Anwältin oder ein Anwalt.

Dann die Website-Basics:

4. Updates: Sind Core, Theme und alle Plugins aktuell — und gibt es einen Prozess, der das dauerhaft sicherstellt? Unser WordPress-Alters-Check zeigt von außen, wie veraltet eine Installation wirkt.
5. Zugriffskontrolle: Haben alle Admin-Konten Zwei-Faktor-Authentifizierung? Gibt es verwaiste Konten ehemaliger Mitarbeiter oder Agenturen?
6. Backups: Existieren automatische Backups außerhalb des Webservers — und wurde die Wiederherstellung je getestet?
7. Logging und Härtung: Werden Logins protokolliert? Sind Sicherheits-Header gesetzt? Der Security-Header-Check prüft das kostenlos.

Was Sie sofort selbst tun können

1. Updates einspielen — mit Backup davor — und einen festen Update-Rhythmus vereinbaren, intern oder mit Ihrer Agentur.
2. 2FA aktivieren für alle Administratoren, verwaiste Konten löschen.
3. Backup testen: einmal wirklich wiederherstellen, nicht nur „Backup läuft”.
4. Dokumentieren: Wer betreut die Website, wie laufen Updates, wo liegen Backups? Genau solche Antworten verlangt die Compliance-Akte.

Unser Angebot

Die NIS2-Härtung für WordPress für 599 € Festpreis bringt Ihre Website auf den Stand, den die Kernmaßnahmen verlangen: Bestandsaufnahme, Zugriffskontrolle mit 2FA, Update-Prozess, Backup-Konzept mit Wiederherstellungs-Test, Protokollierung — plus Dokumentation als Baustein für Ihre NIS2-Nachweise. Da Patch-Management eine Dauerpflicht ist, übernimmt danach ein Care-Plan den laufenden Betrieb mit Monatsbericht als fortlaufendem Nachweis. Eine NIS2-Gesamtberatung ersetzen wir nicht — wir liefern den Website-Baustein.