--- title: "NIS2 für Webplattformen & SaaS" description: "NIS2-Compliance-Guide für deutsche SaaS-Unternehmen. 29.500 Unternehmen betroffen, BSI-Registrierungsfrist lief am 6. März 2026 ab." lastUpdated: "2026-06-23" canonical: "https://anvilstack.eu/compliance/nis2-web-platforms" --- > Sitemap für Agenten: https://anvilstack.eu/llms.txt # NIS2 für Webplattformen & SaaS Die NIS2-Richtlinie ist Deutschlands umfassendste Cybersecurity-Regulierung und betrifft ab sofort **29.500 Unternehmen** – darunter jedes SaaS-Unternehmen und jede Webplattform, die digitale Infrastruktur bereitstellt. Hier erfahren Sie, was Sie jetzt tun müssen. > **Frist:** **Registrierung beim BSI: Frist für besonders wichtige Einrichtungen war der 6. März 2026.** Die NIS2-Umsetzung trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Bußgelder bis €10 Millionen oder 2% des Jahresumsatzes. ## Was ist NIS2? Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die überarbeitete EU-Cybersecurity-Richtlinie, die in Deutschland durch das **NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz** (NIS2UmsuCG) umgesetzt wurde. Sie ersetzt die bisherige NIS-Richtlinie und erweitert den Anwendungsbereich massiv. - **29.500** – betroffene Unternehmen in Deutschland (vorher: 4.500) - **€10M** – maximales Bußgeld oder 2% des globalen Jahresumsatzes - **€2,3 Mrd.** – geschätzte jährliche Compliance-Kosten für die Wirtschaft - **24h** – Frist für die Erstmeldung eines Sicherheitsvorfalls [openkritis: Erfüllungsaufwand NIS2 (Gesetzentwurf, Juli 2025) – rund 30.000 betroffene Unternehmen, 2,2 Mrd. EUR einmalig, 2,3 Mrd. EUR jährlich](https://www.openkritis.de/it-sicherheitsgesetz/kosten-nis2-wirtschaft-bund.html) ## Betrifft NIS2 mein Unternehmen? NIS2 betrifft Sie, wenn Ihr Unternehmen: - **SaaS-Plattformen** betreibt, auf die andere Unternehmen angewiesen sind - **Online-Marktplätze** oder **E-Commerce-Plattformen** anbietet - **Managed IT Services** oder **Cloud-Dienste** bereitstellt - **Digitale Infrastruktur** betreibt, die andere Unternehmen nutzen - Mehr als 50 Mitarbeiter hat **oder** mehr als €10M Jahresumsatz erzielt > **Achtung:** **Auch KI-gestützte Plattformen sind betroffen.** Wenn Ihre mit Lovable, v0 oder Bolt gebaute Plattform digitale Dienste für andere Unternehmen erbringt, fallen Sie unter NIS2. AnvilStack nutzt KI-Tools für schnelle Entwicklung – aber mit Engineering-Review und NIS2-Compliance ab Tag eins. ## Die 10 Pflichtmaßnahmen nach Artikel 21 NIS2 Artikel 21 fordert mindestens diese zehn Cybersecurity-Maßnahmen: 1. **Risikoanalyse und Sicherheitskonzepte** für Informationssysteme 2. **Incident Response** – Bewältigung von Sicherheitsvorfällen 3. **Business Continuity** – Backup-Management und Notfallwiederherstellung 4. **Supply Chain Security** – Sicherheit in der Lieferkette und bei Zulieferern, einschließlich [DSGVO-konformem Vendor-Management](https://anvilstack.eu/compliance/gdpr-vendor-audit.md) 5. **Sicherheit bei Beschaffung** – Entwicklung und Wartung von Systemen 6. **Wirksamkeitsprüfung** – Bewertung der Cybersecurity-Maßnahmen 7. **Cyber-Hygiene und Schulungen** – Grundlegende Praktiken und Awareness 8. **Kryptographie** – Richtlinien für Verschlüsselung 9. **Personalsicherheit und Zugriffskontrolle** – Asset Management 10. **Multi-Faktor-Authentifizierung** – Sichere Kommunikationssysteme In der deutschen Umsetzung sind diese Maßnahmen in **§ 30 BSIG** kodifiziert. ([BSI: NIS-2-Risikomanagementmaßnahmen (§ 30 BSIG)](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Risikomanagementmassnahmen/NIS-2-Risikomanagementmassnahmen.html)) ## Meldepflichten bei Sicherheitsvorfällen | Frist | Pflicht | | -------------- | ------------------------------------ | | **24 Stunden** | Frühwarnung an das BSI | | **72 Stunden** | Detaillierte Vorfallmeldung | | **1 Monat** | Abschlussbericht mit Ursachenanalyse | ## Persönliche Haftung der Geschäftsführung Ein kritischer Unterschied zu bisherigen Regulierungen: **Mitglieder der Geschäftsführung haften persönlich** für Schäden, die durch schuldhaftes Unterlassen von Cybersecurity-Maßnahmen entstehen. Dies kann nicht an den CISO oder die IT-Abteilung delegiert werden. ## Wie AnvilStack hilft Wir nutzen KI-Tools, um schnell zu entwickeln – aber jede Zeile Code wird von Senior Engineers geprüft und NIS2-konform gemacht: - **Analyse:** Wir prüfen Ihre bestehende Plattform gegen alle 10 NIS2-Pflichtmaßnahmen – die vollständige technische Übersetzung finden Sie in unserer [NIS2-Sicherheits-Checkliste](https://anvilstack.eu/insights/nis2-security-checklist.md) - **[Security-by-Architecture](https://anvilstack.eu/services/mvp-engineering.md):** NIS2-Compliance wird in die Systemarchitektur eingebaut, nicht nachträglich angehängt - **Incident Response Setup:** Wir implementieren die Meldeinfrastruktur für die 24h/72h/30d-Fristen - **EU-souveränes Hosting:** Hetzner, Deutschland – kein CLOUD Act, keine US-Jurisdiktion - **Dokumentation:** Prüfbare Nachweise für das BSI, nicht nur technische Maßnahmen In einem kostenlosen Erstgespräch bewerten wir Ihre Plattform auf NIS2-Relevanz und zeigen konkret, wo Handlungsbedarf besteht – vom Assessment bis zur gehärteten, EU-souveränen Produktionsplattform. [Unverbindliches Erstgespräch vereinbaren](https://anvilstack.eu/contact) ## Häufig gestellte Fragen ### Betrifft NIS2 mein SaaS-Unternehmen? Wenn Ihr Unternehmen mehr als 50 Mitarbeiter hat oder mehr als €10M Jahresumsatz erzielt und digitale Dienste für andere Unternehmen bereitstellt – ja. SaaS-Plattformen, Online-Marktplätze, Managed IT Services und Cloud-Dienste fallen unter NIS2. ### Welche Strafen drohen bei NIS2-Verstößen? Bußgelder bis zu €10 Millionen oder 2% des weltweiten Jahresumsatzes für wesentliche Einrichtungen, €7 Millionen oder 1,4% für wichtige Einrichtungen. Geschäftsführer haften persönlich für Schäden durch schuldhaftes Unterlassen von Cybersecurity-Maßnahmen. ### Muss ich mich beim BSI registrieren? Ja. Die NIS2-Umsetzung verlangt eine Registrierung beim BSI. Die Frist lief am 6. März 2026 ab (drei Monate nach Inkrafttreten am 6. Dezember 2025). Ohne Registrierung drohen zusätzliche Sanktionen; eine verspätete Registrierung ist weiterhin möglich und ratsam. ### Was sind die 10 Pflichtmaßnahmen nach NIS2? Artikel 21 fordert: Risikoanalyse, Incident Response, Business Continuity, Supply Chain Security, Sicherheit bei Beschaffung, Wirksamkeitsprüfung, Cyber-Hygiene und Schulungen, Kryptographie-Richtlinien, Zugriffskontrolle und Multi-Faktor-Authentifizierung. ### Wie schnell muss ich einen Sicherheitsvorfall melden? Innerhalb von 24 Stunden müssen Sie eine Frühwarnung an das BSI senden. Innerhalb von 72 Stunden folgt eine detaillierte Vorfallmeldung. Nach einem Monat ist ein Abschlussbericht mit Ursachenanalyse fällig. ### Gilt NIS2 auch für KI-gebaute Plattformen? Ja. Wenn Ihre mit Lovable, v0 oder Bolt gebaute Plattform digitale Dienste für andere Unternehmen erbringt, fallen Sie unter NIS2 – unabhängig davon, wie die Plattform entwickelt wurde. ## Quellen - [Germany Transposes NIS 2 Directive (2026)](https://www.globalpolicywatch.com/2026/01/germany-transposes-nis-2-directive-increased-cybersecurity-requirements-for-businesses/) - [Morrison Foerster: NIS2 in Germany (2026)](https://www.mofo.com/resources/insights/251208-flipping-the-nis2-switch-what-germanys-implementation) - [Reed Smith: Germany Implements NIS2](https://www.reedsmith.com/articles/germany-implements-nis2-immediate-effect-broad-scope-near-term-registration/)