NIS2 Anhang II für WordPress-Agenturen: Geltungsbereich, Fristen, Nachweispfad

#NIS2 Anhang II für WordPress-Agenturen: Geltungsbereich, Fristen, Nachweispfad

Artikel 21 der Richtlinie 2022/2555 ist die operative Klausel, die bestimmt, wie ein Audit aussieht. Anhang I und Anhang II bestimmen, wer überhaupt durch dieses Audit muss. Dieser Beitrag bildet die zehn Maßnahmen aus Artikel 21 Absatz 2 auf konkrete Kontrollen einer WordPress-Agentur ab und beschreibt, welche Nachweisdatei ich erwarte, wenn ein regulierter Kunde eine Lieferantenprüfung anstößt.

Dies ist ein vertiefender Beitrag im Pillar zu NIS2 und DORA auf WordPress, mit Querverweisen auf den DORA-Artikel-28-Leitfaden und das 24-Stunden-Playbook für Sicherheitsvorfälle.

#TL;DR

• Artikel 21 Absatz 2 listet zehn Risikomanagement-Maßnahmen. Keine ist optional.
• Anhang I und Anhang II nennen Sektoren; Artikel 3 entscheidet, wer wesentliche und wer wichtige Einrichtung ist. Gleiche Maßnahmen, andere Aufsicht.
• Auditoren erwarten je Maßnahme vier Artefakte: Richtlinie, Verantwortlicher, Umsetzungsnachweis, Überprüfungsrhythmus.
• Strafrahmen aus Artikel 34 trifft die Einrichtung, nicht den WordPress-Dienstleister, doch Lieferkettenklauseln reichen die Pflichten weiter.
• Pro Buchstabe von Artikel 21 führe ich einen Ordner in jedem regulierten Mandat.

#Wer fällt unter den Anwendungsbereich: Anhang I gegen Anhang II

Anhang I listet die Sektoren mit hoher Kritikalität: Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienstemanagement (B2B), öffentliche Verwaltung, Raumfahrt. Anhang II listet die sonstigen kritischen Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung von Medizinprodukten, Computern und Elektronik, Maschinen und Kraftfahrzeugen, Anbieter digitaler Dienste, Forschungseinrichtungen.

Beide Anhänge greifen bei mittleren Einrichtungen aufwärts (50 oder mehr Beschäftigte oder Jahresumsatz und Jahresbilanzsumme beide über 10 Mio. EUR). Kleinst- und Kleinunternehmen fallen nicht unter den direkten Anwendungsbereich, außer in den in Artikel 2 Absatz 2 genannten Ausnahmen: Vertrauensdiensteanbieter, TLD-Registries, bestimmte DNS-Anbieter, öffentliche Verwaltung, Anbieter öffentlicher elektronischer Kommunikationsnetze.

Der praktische Filter für eine WordPress-Agentur: ein Krankenhaus, eine Bank, ein Chemiewerk, ein Rechenzentrumsbetreiber, eine TLD-Registry. Ist der Kunde aus dieser Liste, beginnt das Scoping. Ist der Kunde ein Hotel, ein SaaS-Startup oder ein regionaler Händler, endet das Scoping meist mit „nicht im Anwendungsbereich, gute Sicherheitspraxis bleibt trotzdem geboten”.

#NIS2 Artikel 21 Maßnahmen für WordPress

Der Richtlinientext liest sich als zehn Buchstaben von a bis j. Jeder Buchstabe wird in meinem Projektarbeitsraum zu einem Ordner.

(a) Risikoanalyse und Sicherheit der Informationssysteme. Ein unterschriebenes Risikoregister mit Werten, Bedrohungen, Eintrittswahrscheinlichkeit, Auswirkung und Behandlung. Für WordPress: Produktionsserver, Staging-Server, Plugin-Set, Drittanbieter-APIs (Zahlung, E-Mail, Analyse, KI), Admin-Konten, Inhaltsdatenbank. Bedrohungen: Plugin-RCE, Credential Stuffing, Ransomware auf Backups, DSGVO-Verstoß über Export. Behandlung: Update-Rhythmus, MFA, externes verschlüsseltes Backup, WAF-Regelwerk.

(b) Bewältigung von Sicherheitsvorfällen. Erkennung, Klassifizierung, Reaktion, Wiederherstellung, Nachbereitung. Nachweis: ein IR-Runbook mit benannten Verantwortlichen, das auslösende Monitoring-Werkzeug (Wordfence, Sucuri, Hosting-IDS, Cloudflare-Alerts), der Slack- oder PagerDuty-Kanal, die Vorlage für die Nachbereitung.

(c) Aufrechterhaltung des Betriebs einschließlich Backup-Management und Wiederherstellung sowie Krisenmanagement. Backup mit externer Lagerung, definierte RPO und RTO, Wiederherstellung getestet. Krisenkommunikationsplan einschließlich Pressesprecher und Behördenkontakt. Jährliche Restore-Übung mit Bericht.

(d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen jeder Einrichtung zu ihren unmittelbaren Anbietern oder Diensteanbietern. Hier landet die WordPress-Agentur. Die regulierte Einrichtung muss ein Lieferantenregister führen, nach Kritikalität klassifizieren, Due Diligence durchführen und Sicherheitsklauseln in Verträge schreiben. Querverweis: DORA Artikel 28 hat dieselbe Logik, strenger für Finanzeinrichtungen.

(e) Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen einschließlich Schwachstellenbehandlung und -offenlegung. Dokumentierter sicherer Entwicklungslebenszyklus. Für WordPress: Code-Review für eigene Plugins und Themes, Dependency-Scanning (Snyk, Dependabot), Plugin Check (PCP) von WordPress.org für eigene Plugins, eine E-Mail für Schwachstellenmeldungen, Patch-Management-Richtlinie.

(f) Strategien und Verfahren zur Bewertung der Wirksamkeit der Cybersicherheitsmaßnahmen. Internes Audit, externes Audit oder Penetrationstest. Nachweis: Umfang-Beschreibung, Testbericht, Maßnahmen-Tracker, Retest-Protokoll.

(g) Grundlegende Cyberhygiene und Schulung. Jährliche Schulung aller Beschäftigten, rollenspezifische Schulung für Admins. Nachweis: Schulungsregister mit Namen, Daten und Inhalten.

(h) Strategien und Verfahren zur Verwendung von Kryptographie und gegebenenfalls Verschlüsselung. TLS 1.3 am Edge, Verschlüsselung der Backups, Verschlüsselung der Datenbank-Backups in Ruhe. Hash-Algorithmus-Richtlinie (kein MD5, kein SHA-1). Inventar der kryptographischen Schlüssel.

(i) Personalsicherheit, Konzepte für die Zugriffskontrolle und Anlagenmanagement. Joiner-Mover-Leaver-Prozess. Benannte Admin-Konten, keine geteilten Zugänge. Asset-Inventar einschließlich aller WordPress-Installationen, Staging-Umgebungen, Repository-Zugänge, Hosting-Konsolen-Zugänge. Vierteljährliche Zugriffsüberprüfung.

(j) Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und gesicherte Notfallkommunikation. MFA auf jeder WordPress-Admin-Anmeldung, jeder Hosting-Konsole, jeder CDN-Konsole, jedem Code-Repository, jedem E-Mail-Postfach. Keine Ausnahme für „interne Vertrauenskonten”.

#Wesentliche oder wichtige Einrichtung nach NIS2 Artikel 3

Der Anhang, in dem ein Sektor steht, entscheidet die Kategorie nicht allein. Nach Artikel 3 Absatz 1 Buchstabe a ist eine Einrichtung einer in Anhang I genannten Art nur dann wesentlich, wenn sie die Schwellenwerte für mittlere Unternehmen der Empfehlung 2003/361/EG überschreitet, also ein großes Unternehmen ist: 250 oder mehr Beschäftigte oder ein Jahresumsatz über 50 Mio. EUR zusammen mit einer Jahresbilanzsumme über 43 Mio. EUR. Nach Artikel 3 Absatz 2 gilt jede andere Einrichtung einer in Anhang I oder II genannten Art, die nicht wesentlich ist, als wichtige Einrichtung. Ein mittelgroßes Krankenhaus aus Anhang I ist damit eine wichtige Einrichtung, genau wie ein großer Hersteller aus Anhang II.

Einige Fälle hängen nicht von der Größe ab. Artikel 3 Absatz 1 Buchstabe b stuft qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter unabhängig von ihrer Größe als wesentlich ein. Zusätzlich können die Mitgliedstaaten nach Artikel 2 Absatz 2 Buchstaben b bis e einzelne Einrichtungen bestimmen.

Für die Agentur folgt daraus: Der Kunde sollte seine Kategorie kennen, bevor er den Fragebogen schickt. Artikel 3 Absatz 3 verpflichtete die Mitgliedstaaten, bis zum 17. April 2025 eine Liste der wesentlichen und wichtigen Einrichtungen zu erstellen und sie mindestens alle zwei Jahre zu überprüfen. Kann der Kunde seine Kategorie nicht nennen, beginnt die Lieferantenprüfung mit einer offenen Frage, und die gehört zu seiner Rechtsberatung, nicht zur Agentur.

#Ist eine WordPress-Wartungsagentur ein Anbieter verwalteter Dienste nach NIS2

Artikel 6 Nummer 39 definiert den Anbieter verwalteter Dienste als Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder anderen Netz- und Informationssystemen erbringt, durch Unterstützung oder aktive Verwaltung in den Räumlichkeiten der Kunden oder aus der Ferne. Anhang I Nummer 9 führt diese Anbieter im Sektor Verwaltung von IKT-Diensten (Business-to-Business). Ein WordPress-Wartungsvertrag mit Admin-Zugang, Updates und Server-Überwachung passt zum Wortlaut dieser Definition. Ob eine bestimmte Agentur darunter fällt, ist eine rechtliche Bewertung, die ich für niemanden vornehme.

Die Größe bleibt entscheidend. Eine Agentur mit weniger als 50 Personen und einem Jahresumsatz oder einer Bilanzsumme bis 10 Mio. EUR liegt außerhalb von Artikel 2 Absatz 1. Eine mittlere Agentur mit verwalteten Diensten wäre eine wichtige Einrichtung, eine große eine wesentliche. Für diese Anbieter legt Artikel 26 Absatz 1 Buchstabe b die Zuständigkeit des Mitgliedstaats ihrer Hauptniederlassung in der Union fest.

Daraus folgt ein zweiter Punkt. Die Durchführungsverordnung (EU) 2024/2690 der Kommission, erlassen auf Grundlage von Artikel 21 Absatz 5, legt die technischen und methodischen Anforderungen an die Maßnahmen aus Artikel 21 Absatz 2 unter anderem für Anbieter verwalteter Dienste fest. Nach ihrem Artikel 3 ist ein Vorfall zum Beispiel erheblich, wenn er einen direkten finanziellen Verlust von mehr als 500 000 EUR oder 5 % des Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres verursacht hat oder verursachen kann, je nachdem, welcher Betrag niedriger ist. Eine erfasste Agentur wendet diese Verordnung unmittelbar an, nicht über den Kundenvertrag.

#Welche Nachweise der NIS2-Auditor je Maßnahme erwartet

Für jeden der zehn Buchstaben erwarte ich vier Artefakte, wenn ein Auditor erscheint:

Diese Vier-Spalten-Tabelle führe ich pro Buchstabe von Artikel 21 Absatz 2. Zehn Buchstaben, vierzig Artefakte. So sieht ein Audit-Ordner 2026 aus.

#NIS2 Meldefristen nach Artikel 23

Artikel 21 regelt den Regelbetrieb. Wenn ein Vorfall tatsächlich eintritt, gilt Artikel 23:

• 24 Stunden ab Kenntnisnahme: Frühwarnung an CSIRT oder zuständige Behörde.
• 72 Stunden ab Kenntnisnahme: Meldung mit Erstbewertung und Indikatoren.
• 1 Monat nach der Meldung des Vorfalls: Abschlussbericht mit ausführlicher Beschreibung, wahrscheinlicher Ursache, getroffenen und laufenden Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen.
• Ist der Vorfall zu diesem Zeitpunkt noch nicht abgeschlossen: ein Fortschrittsbericht und der Abschlussbericht innerhalb eines Monats nach Abschluss der Bearbeitung (Artikel 23 Absatz 4 Buchstabe e).
• Zwischenbericht jederzeit auf Anforderung der Aufsicht.

Das ausführliche Playbook für die ersten 24 Stunden steht im Artikel zu WordPress-Vorfallsreaktion unter NIS2.

#NIS2 Bußgelder und Haftung der Geschäftsleitung

Artikel 34 setzt die Obergrenzen, die nationale Umsetzungsgesetze nicht unterschreiten dürfen:

• Wesentliche Einrichtungen: mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.
• Wichtige Einrichtungen: mindestens 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.

Artikel 20 Absatz 1 weist die Verantwortung den Leitungsorganen zu, einschließlich der Pflicht, die Umsetzung zu überwachen. Artikel 20 Absatz 2 verlangt, dass die Leitungsorgane Schulungen absolvieren. Nationale Umsetzungen können persönliche Sanktionen für die benannten verantwortlichen Personen ergänzen; das deutsche Umsetzungsgesetz ist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu verfolgen.

#NIS2-Lieferkettenklauseln im Vertrag mit der WordPress-Agentur

Artikel 21 Absatz 3 verlangt, dass die Einrichtung bei der Wahl der Maßnahmen nach Buchstabe d die spezifischen Schwachstellen jedes unmittelbaren Anbieters, die Gesamtqualität seiner Produkte und seine Cybersicherheitspraxis einschließlich der sicheren Entwicklungsprozesse berücksichtigt. Artikel 21 Absatz 4 verlangt unverzügliche Abhilfemaßnahmen, sobald die Einrichtung feststellt, dass sie die Maßnahmen nicht einhält. Bei einer WordPress-Agentur wird daraus eine Reihe von Fragen zu Code-Review, Abhängigkeitsverwaltung und Patch-Fristen.

Der ausführlichste amtliche Text zum Vertragsinhalt ist Nummer 5.1.4 des Anhangs der Durchführungsverordnung 2024/2690. Er nennt, was Verträge mit Anbietern soweit angemessen festlegen: Cybersicherheitsanforderungen; Sensibilisierung, Qualifikation, Ausbildung und Zertifizierungen der Mitarbeitenden des Anbieters; Zuverlässigkeitsüberprüfungen dieser Mitarbeitenden; unverzügliche Meldung von Sicherheitsvorfällen, die ein Risiko darstellen; das Recht auf Prüfung oder auf Erhalt von Prüfberichten; die Pflicht zur Behebung von Schwachstellen; Anforderungen an die Unterauftragsvergabe; Pflichten bei Vertragsende, etwa Rückgabe und Vernichtung der Informationen.

Die Verordnung bindet nur die in ihrem Artikel 1 genannten Einrichtungen: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentren und CDN, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Ein Krankenhaus oder ein Hersteller ist nicht daran gebunden, doch die acht Punkte taugen als Prüfliste für einen Vertragsentwurf. Fehlt einer, fragt die Agentur vor der Unterschrift nach, wie der Kunde ihn abdeckt.

#Wie man den Agenturumfang für die NIS2-Lieferantenprüfung abgrenzt

Das Agenturpaket beginnt mit einer klaren Abgrenzung. Benannt werden Vertragspartner, Kundendienst, produktive Websites, Repositories, Umgebungen, Integrationen und Anbieter, die die Agentur tatsächlich betreibt. Die Zuständigkeiten für WordPress-Code, Hosting, DNS, CDN, Identität, Zahlung und redaktionelle Zugänge werden getrennt. Ein Werkzeug in der Architektur macht die Agentur nicht automatisch zum Kontrollverantwortlichen.

Ausschlüsse und Annahmen gehören in dasselbe Dokument. Betreibt der Kunde den Identity Provider oder behält er den Datenbankzugang, wird das festgehalten. Darf die Agentur deployen, aber keine Produktionsänderung freigeben, muss auch diese Trennung sichtbar sein. Der regulierte Kunde verantwortet seine NIS2-Einordnung und die Pflichten nach nationalem Recht; die Agentur belegt den von ihr gelieferten Dienst.

#RACI-Matrix für NIS2 zwischen Kunde, Agentur und Hoster

Eine RACI-artige Matrix umfasst Change-Freigabe, Notfall-Deployment, Schwachstellen-Triage, privilegierte Zugänge, Backup-Ausführung, Restore-Freigabe, Vorfalleskalation, Log-Prüfung und Lieferantenausstieg. Jede Zeile nennt Kundenrolle, Agenturrolle, Freigebenden, Ablageort des Nachweises und Eskalationsweg.

Gemeinsame Kontrollen brauchen besondere Sorgfalt. Der Hoster erstellt möglicherweise das Backup, die Agentur überwacht den Lauf und der Kunde bestimmt das Wiederherstellungsziel. Der Eintrag „Hoster zuständig” verschleiert die verbleibenden Prüf- und Entscheidungsaufgaben. Die Matrix wird bei Änderungen an Leistungsbeschreibung, Architektur oder Personal aktualisiert.

#NIS2-Nachweise für Change-, Schwachstellen- und Zugriffsmanagement

Ein Change-Nachweis verbindet Antrag, Risikobewertung, Vier-Augen-Review, Test, Freigabe, Deployment und Rollback-Ergebnis. Für Notfalländerungen gilt ein verkürzter, nicht ein dokumentationsfreier Weg: Entscheidungsbefugnis, Grund und Frist für den nachträglichen Review bleiben festgehalten. Releases werden mit Commit und Produktionszeitpunkt verbunden.

Bei Schwachstellen werden Quelle, betroffenes Asset und Version, Einstufung, Exposition, Entscheidung, Behebungsziel und Retest gespeichert. Ein Scanner-Export allein zeigt weder Produktionsrelevanz noch eine genehmigte Ausnahme. Fehlt für ein Plugin ein unterstützter Fix, dokumentiert die Agentur kompensierende Maßnahmen und die Entscheidung zur Ablösung.

Beim Zugriff gehören benannte Identität, Rolle, geschäftlicher Grund, Freigabe, MFA-Status, Vergabedatum und letzter Review in den Nachweis. Auch die Entfernung ausgeschiedener Personen und abgelaufener Support-Zugänge wird belegt. Passwörter oder Recovery-Codes gehören nicht in den Audit-Ordner.

#Wie man einen Restore-Test als NIS2-Backup-Nachweis durchführt

Ein grünes Backup-Dashboard belegt die Erstellung, nicht die Wiederherstellbarkeit. Dokumentiert werden Umfang, Frequenz, Verschlüsselung, Speicherort, Aufbewahrung, Fehleralarm und Restore-Berechtigung. Danach erfolgt eine Wiederherstellung in eine isolierte Umgebung mit Beginn, Ende, Integritätsprüfung, Anwendungstest und Abweichungen von RPO und RTO.

Abhängigkeiten außerhalb der Datenbank zählen ebenfalls: Medien, Konfiguration, Secrets, DNS, Edge-Regeln, geplante Jobs und Deployment-Definitionen. Ein Datenbank-Restore kann eine sichtbare Website liefern, die weder E-Mails versendet noch Zahlungen verarbeitet. Die Abnahme benennt daher exakt, welcher Dienst wiederhergestellt und was nur simuliert oder ausgeschlossen wurde.

#Wie oft NIS2-Nachweise geprüft und abgenommen werden

Jeder Nachweis erhält Eigentümer und Aktualisierungsauslöser. Zugriffe können vierteljährlich geprüft werden; Restore- und Vorfallsübungen jährlich oder nach wesentlichen Änderungen; Schwachstellen- und Patch-Nachweise laufend. Vertrags-, Architektur-, Anbieter- oder Pluginwechsel lösen eine gezielte Prüfung aus.

Ein Artefakt gilt als abgenommen, wenn es aktuell, zurechenbar, mit der abgegrenzten Kontrolle verbunden, vereinbart abgelegt und vom Verantwortlichen geprüft ist. Offene Lücken werden mit Risiko, Eigentümer und Termin verfolgt. Fehlende historische Nachweise dürfen nicht rückwirkend so erstellt werden, als hätten sie zum damaligen Zeitpunkt existiert.

Das Paket belegt ausgewählte Lieferantenkontrollen für einen definierten Zeitraum. Es ist keine NIS2-Zertifizierung, kein Rechtsgutachten und kein Beweis vollständiger Kundenerfüllung. Es garantiert auch keine Vorfallsfreiheit. Diese Grenzen gehören in das Deckblatt.

#Welche Unterlagen ein Angebot für ein NIS2-Lieferantenpaket braucht

Für eine belastbare Schätzung senden Sie Vertragspartner, Leistungsbeschreibung, Architektur, Umgebungen, kritische Integrationen, vorhandenen Lieferantenfragebogen, Audit-Termin und verfügbare Nachweise schriftlich. Geheimnisse gehören nicht in die erste Nachricht. Unser NIS2- und DORA-Readiness-Service kann Lieferantenpaket, Verantwortungsmatrix, Nachweislücken und Abnahme für WordPress abgrenzen. Die Leistung ersetzt nicht die rechtliche Bewertung des Kunden.

#Was ein Lieferanten-Sicherheitspaket für regulierte Kunden enthält

Eine WordPress-Agentur, die 2026 regulierte Kunden behalten will, liefert in jedem Mandat zwei Artefakte:

1. Eine Selbsterklärung gegen Artikel 21 Absatz 2 Buchstabe d mit den Sicherheitsmaßnahmen, die die Agentur selbst umsetzt.
2. Ein Referenzdokument, das der Kunde in seinen eigenen Artikel-21-Ordner einfügen kann und das zeigt, wie das WordPress-Mandat auf jede der zehn Maßnahmen abbildet.

Beides bündele ich zu einem „Lieferanten-Sicherheitspaket” und lege es dem Angebot bei. Das spart die Schleife mit dem Einkauf und signalisiert Verständnis für den regulierten Kontext. Die Preisgestaltung für Konformitäts-Engineering-Mandate ist individuell; der Umfang des Ordners bestimmt die Stunden, nicht eine Listenpreis-Tabelle.

#Weiterführende Artikel zu NIS2 und DORA

• Pillar: NIS2 und DORA auf WordPress: Konformitäts-Stack 2026
• DORA Artikel 28 IKT-Drittparteirisiko: WordPress-Hosting- und WAF-Lieferanten-Audit
• WordPress-Vorfallsreaktion unter NIS2: 24-Stunden-Frühwarnungs-Playbook
• Cyber Resilience Act + NIS2 + DORA: der 2026er Konformitäts-Stack für headless WordPress