NIS2 für Agenturen: die Lieferkette macht Druck

Dienstagmorgen, das Postfach: Ein Bestandskunde – ein Zulieferer aus dem Maschinenbau mit rund 120 Mitarbeitenden – schickt dir einen dreiseitigen Fragebogen. Überschrift: „Nachweis IT-Sicherheit für Dienstleister nach NIS2". Gefragt wird, wie du seine Website hostest, wie ihr Zugänge absichert, wie schnell du bei einem Sicherheitsvorfall meldest. Am Ende ein Satz, der aufhorchen lässt: Ohne belastbare Antworten müsse man „die weitere Zusammenarbeit prüfen".

Solche Mails häufen sich seit dem Jahreswechsel. Der Grund ist ein Gesetz, das viele kleine Agenturen bisher für „nicht mein Thema" hielten – zu Unrecht. Denn auch wenn du selbst nicht unter NIS2 fällst, ziehen deine betroffenen Kunden dich über die Lieferkette mit hinein. Dieser Beitrag ordnet ein, was seit Dezember 2025 gilt, wer wirklich betroffen ist und wie du aus der neuen Anforderung ein Standbein statt einer Belastung machst. Hinweis vorab: Das ist eine fachliche Einordnung, keine Rechtsberatung – bei konkreten Pflichten gehört der Einzelfall geprüft.

Was NIS2 für Agenturen konkret bedeutet

NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die Deutschland spät, aber endgültig umgesetzt hat: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, nachdem der Bundestag es am 13. November 2025 verabschiedet hatte. Betroffen sind laut Bundesregierung rund 29.500 Unternehmen in 18 Sektoren. Die Schwelle, ab der eine Einrichtung direkt unter das Gesetz fällt, liegt bei mindestens 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz – vorausgesetzt, das Unternehmen arbeitet in einem der regulierten Sektoren wie Energie, Gesundheit, Transport, Wasser, Finanzwesen, Lebensmittel, verarbeitendem Gewerbe oder digitalen Diensten.

Die gute Nachricht für die meisten Leserinnen und Leser: Eine Webagentur mit fünf Leuten erfüllt diese Schwellen in aller Regel nicht und ist damit selten selbst „wichtige" oder „besonders wichtige Einrichtung". Die weniger gute Nachricht: Betroffen zu sein ist nicht die einzige Art, wie NIS2 auf deinem Schreibtisch landet.

Der eigentliche Hebel heißt Lieferkette

Der Maßnahmenkatalog des Gesetzes verpflichtet regulierte Unternehmen zu zehn Bereichen der Risikovorsorge – einer davon ist ausdrücklich die „Sicherheit der Lieferkette". Wörtlich müssen betroffene Einrichtungen die Sicherheit bei ihren direkten Anbietern und Dienstleistern berücksichtigen und vertraglich absichern. Und genau hier kommst du ins Spiel: Wenn du für einen NIS2-pflichtigen Kunden die Website hostest, die Wartung übernimmst, Formulardaten verarbeitest oder Zugänge zu seinen Systemen hast, bist du Teil seiner Lieferkette.

Der Kunde kann seine eigene Pflicht nur erfüllen, wenn er auch dich in die Pflicht nimmt. Deshalb der Fragebogen. Deshalb die neuen Klauseln in Verträgen. Das ist keine Schikane, sondern die logische Weitergabe einer gesetzlichen Anforderung – vergleichbar mit dem Auftragsverarbeitungsvertrag, den die DSGVO seit Jahren erzwingt und den wir im Beitrag zum AVV für KI-Tools beschrieben haben. Der Unterschied: Bei NIS2 geht es nicht um Datenschutz, sondern um Betriebs- und Angriffssicherheit.

Bist du am Ende doch direkt betroffen?

Ein Sonderfall verdient Aufmerksamkeit. Managed-Service-Provider und Anbieter digitaler Dienste stehen im Fokus von NIS2, weil sie als Einfallstor in viele Kundensysteme gelten. Wer als Agentur also in großem Stil Managed Hosting, zentrale Verwaltungszugänge oder Sicherheitsdienste betreibt und dabei über die Schwellen von 50 Mitarbeitenden beziehungsweise zehn Millionen Euro Umsatz wächst, kann selbst zur „wichtigen Einrichtung" werden. Für den typischen Fünf-Personen-Betrieb ist das noch fern – aber es ist der Grund, warum du die eigene Einstufung dokumentieren solltest, statt sie nur zu vermuten.

Woran du erkennst, ob ein Kunde betroffen ist

Bevor du auf einen Fragebogen reagierst, lohnt der kurze Abgleich. Zwei Bedingungen müssen zusammenkommen: die Größe und der Sektor. Bei der Größe zählt schon eine der beiden Schwellen – 50 Beschäftigte oder zehn Millionen Euro Umsatz. Ein Handwerksbetrieb mit 60 Leuten in der Wasser- oder Energieversorgung fällt darunter, eine Werbeagentur mit 60 Leuten dagegen nicht, weil Marketing kein regulierter Sektor ist. Beim Sektor hilft ein Blick in die Anlagen des Gesetzes: Neben den offensichtlichen Bereichen wie Energie, Gesundheit und Wasser stehen dort auch das verarbeitende Gewerbe, die Lebensmittelproduktion, Post- und Kurierdienste, die Abfallwirtschaft und digitale Dienste. Gerade das verarbeitende Gewerbe zieht viele mittelständische Industriekunden herein, die man auf den ersten Blick nicht als „kritisch" einordnen würde. Wenn dein Kunde selbst unsicher ist, ist das kein schlechtes Zeichen für dich – im Gegenteil: Es zeigt, dass hier Beratungsbedarf entsteht, an dessen Rand du mit deiner technischen Umsetzung sitzt.

Was Kunden jetzt konkret von dir verlangen

Die Fragebögen ähneln sich, weil sie denselben Maßnahmenkatalog spiegeln. Praktisch geht es fast immer um dieselben Punkte: verschlüsselte Übertragung per TLS und aktuelle Zertifikate, ein nachvollziehbares Patch- und Update-Management, saubere Zugriffsverwaltung mit individuellen Konten und Zwei-Faktor-Authentifizierung statt geteilter Passwörter, regelmäßige und getestete Backups sowie ein Notfallplan, der beschreibt, was bei einem Sicherheitsvorfall passiert und wie schnell du den Kunden informierst.

Der letzte Punkt hat es in sich. Betroffene Unternehmen müssen einen erheblichen Sicherheitsvorfall dem BSI innerhalb von 24 Stunden erstmelden. Wenn ein solcher Vorfall über die von dir betreute Website läuft, erwartet dein Kunde, dass du ihn umgehend erreichst – nicht erst nach dem Wochenende. Ein einfacher, schriftlich festgehaltener Meldeweg zwischen dir und dem Kunden ist deshalb oft schon die halbe Antwort auf den Fragebogen.

Nichts davon ist Raketentechnik. Vieles gehört ohnehin zu einer soliden Betreuung, wie sie ein professionelles WordPress-Wartungspaket mitbringt. Der Unterschied ist, dass es jetzt dokumentiert und auf Nachfrage belegbar sein muss. Ein Fragebogen fragt nicht „Machst du Backups?", sondern „Wie oft, wohin, verschlüsselt, und wann zuletzt getestet?". Wer darauf mit einem Satz und einem Screenshot antworten kann, hat den Auftrag sicher – wer erst suchen muss, wirkt angreifbar.

Ein praktischer Nebeneffekt: Diese Dokumentation nützt auch dir selbst. Sie zwingt dich, den eigenen Betrieb einmal sauber zu inventarisieren – welche Zugänge existieren, wer sie hat, welche Plugins auf welchen Kundenseiten laufen. Diese Übersicht ist die Grundlage jeder ernsthaften Sicherheitsarbeit und deckt sich mit dem, was auch der Datenschutz von dir erwartet.

Fristen, Bußgelder – und wen sie treffen

Für die betroffenen Unternehmen gilt: Die Registrierung beim BSI war ursprünglich bis zum 6. März 2026 vorgesehen; das BSI hat die Frist faktisch bis zum 31. Juli 2026 gestreckt. Eine allgemeine Schonfrist für die Umsetzung der Sicherheitsmaßnahmen gibt es nicht – lediglich für die formalen Nachweise besonders wichtiger Einrichtungen ist ein Zeitraum von rund drei Jahren, also bis Ende 2028, vorgesehen. Die Meldepflichten dagegen gelten sofort.

Die Bußgelder sind spürbar: Besonders wichtige Einrichtungen riskieren bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent. Neu und für die Praxis entscheidend ist die persönliche Verantwortung der Geschäftsleitung, die die Cybersicherheitsmaßnahmen billigen und überwachen muss. Wichtig für dich als Agentur: Diese Bußgelder treffen die regulierte Einrichtung, nicht ihren kleinen Dienstleister. Dein Risiko ist ein anderes, aber ebenso real – der Verlust des Auftrags, wenn du die geforderten Nachweise nicht liefern kannst.

Aus der Pflicht ein Angebot machen

Genau in dieser Verschiebung steckt die Chance. Dein Kunde muss handeln, hat aber selten die Zeit oder das Know-how, die technische Umsetzung selbst zu stemmen. Wer als Agentur einen klaren „Sicherheits-Baustein" anbietet, verwandelt eine lästige Anfrage in wiederkehrenden Umsatz: ein dokumentiertes Grundschutz-Paket aus TLS, Update-Management, Backup-Konzept, Zugriffskontrolle und einem schlanken Notfallplan – jährlich geprüft und als PDF-Nachweis für die Lieferkette aufbereitet.

Das lässt sich gut mit bestehenden Wartungsverträgen bündeln und über mehrere Kunden hinweg standardisieren. Für Agenturen, die ihren Kunden ohnehin KI-Funktionen wie Chatbots anbieten, gilt derselbe Grundsatz der Nachweisbarkeit übrigens auch dort: Ein System, das nur belegbare Antworten aus geprüften Inhalten gibt, ist leichter zu dokumentieren als eine Blackbox. Wer Sicherheit und Nachvollziehbarkeit zusammendenkt, positioniert sich bei genau den Kunden, die durch NIS2 gerade sensibilisiert werden.

Der Einstieg ist unspektakulär: Beantworte den nächsten Fragebogen nicht als Pflichtübung, sondern als Bestandsaufnahme. Was davon erfüllst du schon, was fehlt? Aus dieser Lücke wird dein Angebot – für den fragenden Kunden und für die nächsten drei, die denselben Fragebogen schicken werden.