Kurz gesagt: Die EU-Richtlinie NIS2 verpflichtet deutlich mehr Unternehmen als früher zu Maßnahmen des Risikomanagements und zur Meldung erheblicher Sicherheitsvorfälle. In Deutschland wird sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt; zuständige Behörde ist das BSI. Für Webserver bedeutet das vor allem: Updates, Schwachstellenmanagement und Vorfallsbearbeitung müssen organisiert und nachweisbar sein. Diese Seite ist allgemeine Information, keine Rechtsberatung.
Keine Rechtsberatung: Ob Ihr Unternehmen unter NIS2 fällt und welche Pflichten im Einzelnen gelten, klären Sie anhand der Angaben des BSI und mit einer Rechtsberatung. Wir nennen bewusst keine Schwellenwerte oder Fristen, die von Ihrer Einordnung abhängen.
Was NIS2 ist
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie erweitert den Kreis der verpflichteten Unternehmen gegenüber der früheren Regelung erheblich und unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Welche Branchen und Größenklassen erfasst sind, legt das Gesetz fest.
In Deutschland setzt das NIS2UmsuCG die Richtlinie um und fasst dafür unter anderem das BSI-Gesetz neu. Das BSI ist Ansprechpartner für Registrierung, Meldungen und Aufsicht und stellt auf seiner Website Informationen und Hilfen zur Einordnung bereit. Verlässliche, aktuelle Angaben zu Fristen und Verfahren finden Sie dort, nicht in allgemeinen Zusammenfassungen.
NIS2-Pflichten für Unternehmen im Überblick
Für betroffene Unternehmen lassen sich die Pflichten grob in drei Bereiche fassen:
Risikomanagement. Unternehmen müssen geeignete und verhältnismäßige technische und organisatorische Maßnahmen treffen. Dazu gehören typischerweise Konzepte für Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backups und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung, Entwicklung und Wartung einschließlich Umgang mit Schwachstellen, Zugriffskontrolle und Kryptografie.
Meldungen. Erhebliche Sicherheitsvorfälle sind an das BSI zu melden. Die Richtlinie sieht dafür ein gestuftes Verfahren vor, von einer frühen ersten Meldung bis zu einem abschließenden Bericht. Die genauen Fristen und Meldewege für Deutschland entnehmen Sie den Angaben des BSI.
Verantwortung der Leitung. Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich in Fragen der Cybersicherheit schulen lassen. Mehr dazu unter Haftung der Geschäftsführung.
Was das für Webserver heißt
Webserver sind oft das am weitesten offene System eines Unternehmens. PHP2Shell zeigt, wie schnell eine Lücke in einer Grundkomponente alle darauf laufenden Anwendungen betreffen kann. Die beiden Lücken CVE-2026-109618 und CVE-2026-109619 erlauben Codeausführung ohne Anmeldung; das BSI hat Warnstufe 3 (Orange) ausgerufen und ein sofortiges Update empfohlen.
Für ein NIS2-pflichtiges Unternehmen stellen sich daraus praktische Fragen: Wissen wir, welche Server PHP einsetzen und in welcher Version? Wer verfolgt Sicherheitsmeldungen und entscheidet über Notfall-Updates? Können wir einen Angriff erkennen, und wer bewertet, ob ein Vorfall erheblich und damit meldepflichtig ist? Ist geregelt, was Hoster und Dienstleister übernehmen?
Ein Patch entfernt keine Schadsoftware, die vorher eingeschleust wurde, und beweist nicht, dass nichts passiert ist. Auch das gehört zur Vorfallsbewertung.
Konkrete Maßnahmen für die Webinfrastruktur
Die folgenden Punkte sind keine abschließende Liste, decken aber die häufigsten Lücken ab:
| Maßnahme | Bezug |
|---|---|
| Inventar aller Webserver, PHP-Versionen und Anwendungen | Risikoanalyse |
| Festes Verfahren für Sicherheitsupdates inkl. Neustart und Nachweis | Schwachstellenmanagement |
| Überwachung und Log-Aufbewahrung | Vorfallsbewältigung |
| Getestete Backups und Wiederanlaufplan | Betriebskontinuität |
| Aufgabenteilung mit Hoster und Agenturen schriftlich | Lieferkette |
| Mehrfaktor-Anmeldung für Admin-Zugänge | Zugriffskontrolle |
| Vorbereitete Meldewege und Zuständigkeiten | Meldepflichten |
Als methodischer Rahmen eignet sich der IT-Grundschutz des BSI. Ein IT-Notfallplan für Webserver verbindet Technik, Zuständigkeiten und Meldewege.
NIS2 und Datenschutz zusammendenken
Ein Angriff auf einen Webserver kann gleichzeitig ein NIS2-Vorfall und eine Datenschutzverletzung sein. Dann laufen zwei Verfahren nebeneinander, mit unterschiedlichen Behörden und Anforderungen. Die Meldung an die Datenschutz-Aufsicht nach Art. 33 DSGVO ist in DSGVO-Meldepflicht: 72 Stunden beschrieben. Planen Sie beide Wege im Voraus, damit im Ernstfall niemand improvisieren muss.
Ein weiterer Punkt betrifft Dienstleister. Viele Unternehmen lassen Websites von Agenturen betreuen und Server von Hostern betreiben. Die Pflicht, Risiken der Lieferkette zu berücksichtigen, bedeutet praktisch: vertraglich regeln, wer Sicherheitsupdates einspielt, wie schnell kritische Lücken behandelt werden, wie Sie über Vorfälle informiert werden und welche Nachweise Sie erhalten. Die Lage um PHP2Shell ist ein guter Prüfstein, ob diese Regelungen bereits bestehen und im Ernstfall funktioniert haben. Fehlt eine Antwort, ist das ein Punkt für Ihr Risikomanagement.
Wie hilft PHP SOS konkret?
- Wir erfassen Ihre Webinfrastruktur und bewerten Risiken und Lücken in einer Form, die Sie für Ihr Risikomanagement verwenden können.
- Wir richten ein nachweisbares Verfahren für Sicherheitsupdates ein und übernehmen es auf Wunsch per Security-Wartungsvertrag.
- Mit Security-Monitoring und Log-Aufbewahrung schaffen wir die Grundlage, Vorfälle zu erkennen und zu bewerten.
- Im Vorfall liefern wir die technischen Fakten für Ihre Meldung an das BSI; die rechtliche Einordnung bleibt bei Ihnen und Ihrer Rechtsberatung.
Häufige Fragen
Ist mein Unternehmen von NIS2 betroffen?
Das hängt unter anderem von Branche und Unternehmensgröße ab. Die genauen Kriterien ergeben sich aus dem deutschen Umsetzungsgesetz. Das BSI stellt auf seiner Website Informationen zur Betroffenheit bereit; im Zweifel klären Sie die Frage mit einer Rechtsberatung.
Was bedeutet NIS2 für eine Unternehmenswebsite?
Webserver, Kundenportale und Shops gehören zu den Systemen, deren Risiken ein betroffenes Unternehmen steuern muss. Dazu zählen Updates, Schwachstellenmanagement, Zugriffskontrolle und die Fähigkeit, Vorfälle zu erkennen und zu melden.
Welche Meldefristen gelten nach NIS2?
Die Richtlinie sieht ein gestuftes Meldeverfahren für erhebliche Sicherheitsvorfälle vor. Die verbindlichen Fristen, Wege und Formulare für Deutschland entnehmen Sie den Angaben des BSI und dem Gesetzestext. Wir nennen hier bewusst keine Fristen ohne Bezug auf Ihre Lage.
Gilt NIS2 auch für Zulieferer?
NIS2 verlangt von betroffenen Einrichtungen, auch die Sicherheit ihrer Lieferkette zu berücksichtigen. Deshalb fragen viele Kunden ihre Dienstleister und Zulieferer nach Sicherheitsmaßnahmen, auch wenn diese selbst nicht unmittelbar unter das Gesetz fallen.