EU-Konformitätsaudit für WordPress: Barrierefreiheit, NIS2/DORA, AI Act

#EU-Konformitätsaudit für WordPress: ein Auftrag statt drei Silos

EU-Einkaufsteams bewerten Barrierefreiheit, Cybersicherheit und KI zunehmend auf demselben Lieferantenblatt. Sie haben bereits Artikel zu WCAG, BFSG und EAA, zu NIS2 und DORA auf WordPress und zur AI-Act-Inhaltskennzeichnung. Es fehlte eine Leistung, die alle drei Stränge auf einer WordPress-Installation schließt - ohne drei Anbieter und drei widersprüchliche Berichte.

Das EU-Konformitätsaudit ist eine konsolidierte technische Prüfung: was auf Ihrer Website Pflichten aus Richtlinie 2019/882 (EAA), Richtlinie 2022/2555 (NIS2), Verordnung 2022/2554 (DORA) und Verordnung 2024/1689 (AI Act) verletzt oder gefährdet. Die Richtlinien erklären wir hier nicht erneut - Links führen zu unseren Blogs und EUR-Lex.

Fristen treiben Nachfrage: EAA gilt für neue Dienste ab 2025-06-28 (in Deutschland über das BFSG umgesetzt), NIS2 ist in den Mitgliedstaaten transponiert mit Pflichten für wesentliche und wichtige Einrichtungen, DORA betrifft Finanzdienstleistungen ab 2025-01-17, und der AI Act tritt ab 2025 stufenweise in Kraft. Wenn ein Auftraggeber vor Vertragsunterzeichnung Nachweise verlangt, liefert dieses Audit Antworten in einem Format, das die Vergabestelle ablegen kann.

#Was das EU-Konformitätsaudit abdeckt

Die Tabelle unten ist der technische Umfang auf WordPress. Rechtliche Details und Implementierungs-Checklisten stehen in den verlinkten Artikeln - hier nur das, was wir auf Ihrer Installation messen.

Das Audit ersetzt keine Rechtsberatung oder ein formales VPAT. Es liefert eine technische Lückenkarte, die externe Juristen oder Auditoren in eine breitere Bewertung einbinden können, ohne Code erneut zu scannen.

#Deliverables: was in Ihrem Posteingang landet

Am Ende des Auftrags erhalten Sie drei Artefakte, die Vergabestellen tatsächlich lesen:

1. Schriftlicher Bericht (PDF) aufgeteilt nach drei Regimen. Jedes Finding hat P0-P3-Priorität, Nachweis (Screenshot, Code-Auszug, Log) und Remediation-Anweisungen, die ein WordPress-Entwickler ohne Rückfragen umsetzen kann.
2. Remediation-Backlog im Format für Jira, Linear oder Tabellen - Abhängigkeiten, Aufwandshinweise und ob die Korrektur in Theme, Plugin oder Hosting-Konfiguration gehört.
3. Vergabenachweispaket - IKT-Lieferantenkarte (Hosting, CDN, Zahlungen, E-Mail, Analytics), Plugin-Versionen, Update-Richtlinie, Incident-Meldungspfad-Skizze im Einklang mit NIS2-Erwartungen.

Dazu ein 30-minütiges Video-Walkthrough für Technik und Compliance. 30 Tage lang beantworten wir Rückfragen beim Abarbeiten des Backlogs.

#Wer braucht dieses Audit

Nicht jede WordPress-Website braucht den vollen Drei-Modul-Umfang. Am häufigsten beauftragt von:

• WooCommerce-Shops, die nach dem EAA-Stichtag an EU-Kunden verkaufen - besonders Checkout, Produktfilter und Kontaktformulare.
• Unternehmen regulierter Branchen (Finanzen, Versicherungen, kritische Infrastruktur) oder deren IKT-Dienstleister, wo NIS2 und DORA im selben RFP wie Barrierefreiheit landen.
• Öffentlicher Sektor und Vergabeauftragnehmer, die WCAG- und Lieferkettennachweise vor Rahmenvertragsunterzeichnung vorlegen müssen.
• Agenturen, die WordPress an EU-Auftraggeber verkaufen und ein Referenz-Audit statt drei untervergebener Angebote wollen.

Sind Sie ein Kleinstunternehmen mit enger EAA-Ausnahme, sagen wir das im Erstgespräch und berechnen keine Module außerhalb des Umfangs.

#Wie der Auftrag abläuft

Fünf Schritte aus dem howTo-Frontmatter - in der Praxis:

Schritt 1 - Briefing. Website-Typ, Länder, Sektor und Integrationen (Zahlungen, CRM, KI-Tools) beschreiben. Ohne das ist Regime-Scoping Raten.

Schritt 2 - Regime-Scoping. Im Gespräch klären wir, ob EAA, NIS2/DORA, AI Act oder ein Teilumfang gilt. Bei Bedarf verweisen wir auf Blogs, wenn Ihr internes Team vor Vertragsunterzeichnung rechtlichen Kontext braucht.

Schritt 3 - Angebot. Individuelles Angebot, Zeitplan, erforderlicher Zugang (Staging, read-only SFTP, Plugin-Liste).

Schritt 4 - Audit. Automatisierter WCAG-Scan auf repräsentativen URLs, manuelle Stichprobe kritischer Pfade, Plugin-Review für NIS2/DORA, AI-Kennzeichnungsprüfung. P0-Lücken können parallel geschlossen werden, wenn vertraglich vereinbart.

Schritt 5 - Bericht und Übergabe. PDF, Backlog, Nachweispaket, Aufzeichnung. Optional gehen wir in Remediation oder laufende WordPress-Wartung mit quartalsweisem Re-Audit ausgewählter Module über.

#Praxisbeleg

Im Q2 2026 schlossen wir EAA-Scoping für einen anonymisierten WooCommerce-Shop eines deutschen Mittelständlers ab (40+ Produkte, Standard-Block-Theme, drei Zahlungs- und Marketing-Plugins). Der Auftraggeber hatte im Vergabeverfahren eines Rahmenvertrags BFSG-Nachweise neben einer NIS2-Lieferantenfragebogen-Anforderung verlangt. Innerhalb von zwei Wochen nach Kick-off lieferten wir einen WCAG-Bericht mit 23 Findings, sieben als P0 im Checkout (Feldlabels, Focus-Trap im Mini-Warenkorb, Kontrast des Bezahlen-Buttons). Das Backlog ging als fertige Tickets an das Kundenteam; P0-Remediation schlossen wir im folgenden Sprint. Kein Kundenname, keine erfundenen Metriken - typisches Projektprofil nach dem EAA-Stichtag.

#Verwandte Leistungen und Vertiefungen

Dieses Audit bündelt drei Säulen. Brauchen Sie einen tieferen Einstieg in ein Regime, gibt es eigenständige Angebote:

Blog-Vertiefungen (Details hier, oben nicht wiederholt):

• WCAG 2.2, BFSG und EAA: Compliance-Stack 2026
• NIS2 und DORA auf WordPress: Compliance-Stack 2026
• AI Act: Kennzeichnung KI-generierter Inhalte

Primärquellen (EUR-Lex): EAA 2019/882, NIS2 2022/2555, DORA 2022/2554, AI Act 2024/1689.

Audit beauftragen? Briefing über das Kontaktformular senden mit Website-Typ, Sektor und Frist, bis zu der Sie Compliance-Nachweise vorlegen müssen.