Ein Webshop läuft heute nur noch selten als eigenständiges System. Im Hintergrund sind Bestandsverwaltung, Rechnungsstellung, Online-Zahlung, Kurierdienst-Anbindungen, ein ERP-System, externe APIs und verschiedene Benutzerberechtigungen damit verknüpft. Was für den Käufer wie ein einfacher Webshop aussieht, ist in Wahrheit Teil einer deutlich komplexeren IT-Umgebung.
Je größer ein E-Commerce-Unternehmen wird, desto schwieriger lässt sich der Webshop scharf von der dahinterliegenden Infrastruktur trennen. Deshalb tritt ein Sicherheitsproblem nicht zwangsläufig über den Webshop selbst zutage: Es kann von einem kompromittierten Benutzerkonto, einer fehlerhaften Berechtigungsverwaltung oder einer verwundbaren externen Integration ausgehen. Die Cybersicherheitsregulierung betrachtet den Betrieb des Unternehmens daher deutlich breiter.
Bei NIS2 ist deshalb nicht die beste erste Frage: „Erfüllt mein Webshop die NIS2-Anforderungen?“ Zuerst muss geklärt werden, ob das Unternehmen, das den Webshop betreibt, überhaupt in den Geltungsbereich der Regulierung fällt. Wenn ja, muss separat geprüft werden, welche Pflichten für es gelten und ob dazu auch das verpflichtende Cybersicherheitsaudit gehört. In den NIS2-Geltungsbereich zu fallen und auditpflichtig zu sein ist nämlich nicht dasselbe.
Nicht jeder Webshop ist NIS2-pflichtig
NIS2 hat die Cybersicherheitsregulierung der Europäischen Union erheblich ausgeweitet. Die Regulierung bestimmt den Kreis der Betroffenen nach Sektoren und Organisationstypen. Anhang 2 und 3 des Gesetzes benennen unter anderem Unternehmen aus Energie, Verkehr, Gesundheitswesen, digitaler Infrastruktur, Post, Lebensmittelindustrie, Chemie sowie bestimmte produzierende Unternehmen; unter den digitalen Diensten tauchen auch die Online-Marktplätze auf. Das bedeutet jedoch nicht, dass jedes Unternehmen, das im Internet verkauft, automatisch NIS2-pflichtig wäre. Ein Händler, der seine eigenen Produkte im eigenen Webshop verkauft, gilt für sich genommen noch nicht als Online-Marktplatz.
Ein Online-Marktplatz ist eine Plattform, die es auch anderen Händlern oder Nutzern ermöglicht, darüber Fernabsatzverträge abzuschließen. Typischerweise erscheint also das Angebot mehrerer Verkäufer auf derselben Plattform – das unterscheidet sich wesentlich vom Betrieb des eigenen Webshops eines einzelnen Händlers. Das ist einer der wichtigsten Unterschiede, den ein Webshop-Betreiber klar sehen muss.
Wann ist ein Webshop betroffen?
Zu prüfen ist in erster Linie nicht, ob es auf der Seite einen Warenkorb und Online-Zahlung gibt, sondern welche wirtschaftliche Tätigkeit das Unternehmen hinter dem Webshop ausübt.
Es kann zum Beispiel vorkommen, dass eine Firma selbst hergestellte Produkte online verkauft, während die Produktionstätigkeit selbst in einen der betroffenen Sektoren des Cybersicherheitsgesetzes fällt. Ein anderes Unternehmen betreibt einen Online-Marktplatz oder erbringt einen digitalen Dienst, den das Gesetz gesondert benennt.
In Anhang 3 des Gesetzes stehen mehrere auch aus E-Commerce-Sicht relevante Bereiche. Dazu können bestimmte Lebensmittelunternehmen, Hersteller und Vertreiber chemischer Stoffe, Hersteller von Medizinprodukten, einzelne Industrieproduzenten, Postdienstleister und die Online-Marktplätze gehören. Die Betroffenheit ist jedoch immer anhand der tatsächlichen Tätigkeit des Unternehmens zu beurteilen.
Ein Webshop, der Elektronikartikel vertreibt, wird also nicht automatisch betroffen, nur weil er Produkte verkauft, deren Herstellung im Gesetz steht. Handels- und Produktionstätigkeit sind aus dieser Sicht nicht dasselbe.
Auch die Größe zählt
Die sektorale Einordnung allein bestimmt die Pflicht nicht in jedem Fall. Die aktuelle ungarische Regulierung betrifft im Grundsatz jene Organisationen nach Anhang 2 und 3, die die im Gesetz festgelegte Unternehmensgröße oder andere Größenkriterien erreichen.
Das Gesetz rechnet unter anderem mit einer Beschäftigtenzahl ab 50 Personen beziehungsweise in bestimmten Fällen mit einer Umsatz- und Bilanzsummengrenze von umgerechnet 10 Millionen Euro. Das ist eine Größenordnung, die für etliche umsatzstärkere E-Commerce-Unternehmen bereits relevant sein kann.
Die Einordnung lässt sich allerdings nicht immer damit erledigen, Mitarbeiterzahl und Jahresumsatz der betreffenden GmbH zu prüfen. Bei Unternehmensgruppen, verbundenen Unternehmen und Partnerunternehmen kann die KMU-Einstufung eine gesonderte Prüfung erfordern. Bei einem Webshop, der in mehreren Ländern tätig ist, über eigene Produktion verfügt oder über mehrere juristische Personen betrieben wird, darf man deshalb nicht allein vom eigenen Umsatz des Webshops ausgehen.
Es gibt auch einige größenunabhängige Kategorien
Bei bestimmten Organisationen geht die Regulierung nicht von der klassischen Unternehmensgröße aus. Das können zum Beispiel Anbieter elektronischer Kommunikation, Vertrauensdienste- oder DNS-Anbieter, Register für Top-Level-Domains sowie Dienstleister für die Domainregistrierung sein, für die Sonderregeln gelten können.
Deshalb ist die oft zitierte „NIS2-Grenze von 50 Mitarbeitern“ leicht irreführend. Die Vereinfachung, unter fünfzig Beschäftigten gebe es sicher nichts zu tun und darüber sicher etwas, stimmt nicht. Sektor, Unternehmensgröße, tatsächliche Tätigkeit und ein eventueller Sonderstatus müssen gemeinsam geprüft werden.
Und für wen ist das Audit selbst verpflichtend?
Das ist eine weitere wichtige Trennlinie. Nach dem ungarischen Cybersicherheitsgesetz müssen auditpflichtige Organisationen regelmäßig unter Einbeziehung eines unabhängigen Auditors nachweisen, dass sie die vorgeschriebenen Cybersicherheitsanforderungen erfüllen.
Die Grundregel schreibt ein Cybersicherheitsaudit alle zwei Jahre vor. Neu registrierte Organisationen müssen innerhalb von 120 Tagen eine Vereinbarung mit einem im entsprechenden Register geführten Auditor schließen, und das erste Audit ist im Grundsatz innerhalb von zwei Jahren ab der Registrierung durchzuführen.
Laut der Mitteilung der ungarischen Aufsichtsbehörde SZTFH vom 10. Juli 2026 haben von den 2520 registrierten auditpflichtigen Organisationen 2132 diese Pflicht fristgerecht erfüllt.
Das Audit ist keine einfache Website-Sicherheitsprüfung
Im Webshop-Umfeld stellt man sich ein Cybersicherheitsaudit leicht so vor: Ein Experte sieht sich den Webshop an, lässt ein paar Schwachstellenscans laufen und stellt dann eine Bescheinigung aus. Die Realität ist deutlich komplexer.
NIS2 konzentriert sich nicht auf den Schutz einer einzelnen Website, sondern prüft die Risiken sämtlicher für den Betrieb der Organisation genutzter Netz- und Informationssysteme. Dazu gehören unter anderem Risikoanalyse, Incident-Management, Geschäftskontinuität, Backup und Wiederherstellung, Sicherheit der Lieferkette, Zugriffsverwaltung, Kryptografie, Schulung der Mitarbeiter sowie in begründeten Fällen auch die Multi-Faktor-Authentifizierung.
Bei einem Webshop kann deshalb nicht nur der Shop selbst in den geprüften Kreis fallen, sondern auch das ERP, das Lager- und Warenwirtschaftssystem, die Unternehmens-E-Mail, die Geräte der Mitarbeiter, die Administratorzugänge, die APIs und die Integrationen zu externen Diensten. Das ist weit mehr als die Kontrolle, ob die Seite ein SSL-Zertifikat hat.
Auch ein Miet-Webshop nimmt dem Händler NIS2 nicht „ab“
Hier ist es wichtig, die Verantwortung der Webshop-Plattform von der des Unternehmens zu trennen, das sie nutzt. Ein modernes SaaS-System nimmt dem Händler viele technische Aufgaben ab: Er muss keinen eigenen Webserver betreiben, keine Sicherheitsupdates installieren und nicht den gesamten Anwendungscode überwachen. Das ist ein großer Vorteil – es bedeutet aber nicht, dass ein unter NIS2 fallendes Unternehmen die Anforderungen automatisch erfüllt, nur weil es ein sicheres gemietetes Webshop-System nutzt. Die Compliance bezieht sich nämlich auf die Organisation als Ganzes.
NIS2 widmet den Risiken der Lieferkette und externer Dienstleister besondere Aufmerksamkeit. Ein auditpflichtiges E-Commerce-Unternehmen muss deshalb auch wissen, auf welche externen Systeme es sich stützt, auf welche Daten diese zugreifen und wie kritisch sie für den Geschäftsbetrieb sind.
Was bedeutet das bei der Nutzung eines Sellvio-Webshops?
Sellvio bietet mehrere technische Möglichkeiten, die sich gut in einen bewussten Cybersicherheitsbetrieb einfügen. Für die Admin-Oberfläche lässt sich zum Beispiel die Zwei-Faktor-Authentifizierung aktivieren, sodass zum Login neben dem Passwort auch ein Einmalcode erforderlich sein kann. Das ist besonders wichtig dort, wo Zugriff auf Bestellungen, Kundendaten, Preise und Einstellungen besteht, die den Betrieb des Webshops beeinflussen.
Das System bietet außerdem eine detaillierte Berechtigungsverwaltung. Neue Benutzer erhalten nicht automatisch Vollzugriff, und der Administrator kann auf Benutzer- und Gruppenebene steuern, wer was sehen, bearbeiten oder löschen darf. So muss zum Beispiel ein Content-Redakteur keinen Zugriff auf die Benutzerverwaltung oder andere, für ihn nicht notwendige Module haben.
Das folgt gut dem Grundprinzip, dass jeder Benutzer nur auf die Systeme und Daten zugreifen soll, die er für seine Arbeit tatsächlich benötigt.
Bei APIs sind Berechtigungen besonders wichtig
Ein größerer Webshop arbeitet selten isoliert. Die Daten bewegen sich laufend zwischen Webshop, ERP, Lagerverwaltung, Rechnungsprogramm, Logistiksystem und weiteren externen Anwendungen. Je mehr solcher Verbindungen entstehen, desto wichtiger ist es, genau zu regeln, auf welche Daten die einzelne Integration zugreifen darf.
Die REST API von Sellvio nutzt OAuth-2.0-basierte Authentifizierung, und die Zugriffe lassen sich über separate Berechtigungsbereiche, sogenannte Scopes, steuern. So muss eine Integration nicht automatisch Zugriff auf den gesamten Datenbestand des Webshops erhalten, sondern nur auf die Daten, die sie tatsächlich benötigt. Aus Cybersicherheitssicht ist das ein wesentlicher Unterschied. Je enger und präziser der Zugriff eines externen Systems definiert ist, desto kleiner ist das Risiko bei einer fehlerhaften Konfiguration oder einer kompromittierten Integration.
Vier Fragen, die sich jeder größere Webshop stellen sollte
Steht die tatsächliche Tätigkeit des Unternehmens unter den betroffenen Sektoren des Cybersicherheitsgesetzes? Nicht die bloße Existenz des Webshops zählt, sondern die Tätigkeit der dahinterstehenden Organisation.
Erreicht das Unternehmen die maßgebliche Größenschwelle, oder fällt es in eine Sonderkategorie, für die abweichende Regeln gelten?
Von welchen elektronischen Informationssystemen hängt der Geschäftsbetrieb ab? Neben dem Webshop können dazu auch ERP, CRM, Lagerverwaltung, Rechnungsstellung, E-Mail und API-Integrationen gehören.
Lässt sich nachweisen, dass die Sicherheitsmaßnahmen nicht nur auf dem Papier existieren, sondern tatsächlich funktionieren? Bei einem Audit ist das eine grundlegende Frage.
Wenn sich schon die ersten beiden Punkte nicht eindeutig beantworten lassen, lohnt es sich, die NIS2-Einordnung des Unternehmens mit einem Experten zu klären.
Rechtlicher Hinweis: Dieser Artikel ist eine allgemeine fachliche Information und stellt keine rechtliche oder behördliche Stellungnahme dar. Der Geltungsbereich von NIS2 und des ungarischen Cybersicherheitsgesetzes ist stets anhand der Tätigkeit, der Größe, der Stellung innerhalb der Unternehmensgruppe und der sonstigen rechtlichen Umstände des jeweiligen Unternehmens zu beurteilen.