NIS2 Anhang II für WordPress-Agenturen: Geltungsbereich, Fristen, Nachweispfad
Artikel 21 der Richtlinie 2022/2555 ist die operative Klausel, die bestimmt, wie ein Audit aussieht. Anhang I und Anhang II bestimmen, wer überhaupt durch dieses Audit muss. Dieser Beitrag bildet die zehn Maßnahmen aus Artikel 21 Absatz 2 auf konkrete Kontrollen einer WordPress-Agentur ab und beschreibt, welche Nachweisdatei ich erwarte, wenn ein regulierter Kunde eine Lieferantenprüfung anstößt.
Dies ist ein vertiefender Beitrag im Pillar zu NIS2 und DORA auf WordPress, mit Querverweisen auf den DORA-Artikel-28-Leitfaden und das 24-Stunden-Playbook für Sicherheitsvorfälle.
TL;DR
- Artikel 21 Absatz 2 listet zehn Risikomanagement-Maßnahmen. Keine ist optional.
- Anhang I = wesentliche Einrichtungen. Anhang II = wichtige Einrichtungen. Gleiche Maßnahmen, andere Aufsicht.
- Auditoren erwarten je Maßnahme vier Artefakte: Richtlinie, Verantwortlicher, Umsetzungsnachweis, Überprüfungsrhythmus.
- Strafrahmen aus Artikel 34 trifft die Einrichtung, nicht den WordPress-Dienstleister, doch Lieferkettenklauseln reichen die Pflichten weiter.
- Pro Buchstabe von Artikel 21 führe ich einen Ordner in jedem regulierten Mandat.
Wer fällt unter den Anwendungsbereich: Anhang I gegen Anhang II
Anhang I listet die wesentlichen Einrichtungen: Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienstemanagement (B2B), öffentliche Verwaltung, Raumfahrt. Anhang II listet die wichtigen Einrichtungen: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung von Medizinprodukten, Computern und Elektronik, Maschinen und Kraftfahrzeugen, Anbieter digitaler Dienste, Forschungseinrichtungen.
Beide Anhänge greifen bei mittleren Einrichtungen aufwärts (50+ Beschäftigte oder Jahresumsatz über 10 Mio. EUR oder Bilanzsumme über 10 Mio. EUR). Kleinst- und Kleinunternehmen fallen nicht unter den direkten Anwendungsbereich, außer in den in Artikel 2 Absatz 2 genannten Ausnahmen: Vertrauensdiensteanbieter, TLD-Registries, bestimmte DNS-Anbieter, öffentliche Verwaltung, Anbieter öffentlicher elektronischer Kommunikationsnetze.
Der praktische Filter für eine WordPress-Agentur: ein Krankenhaus, eine Bank, ein Chemiewerk, ein Rechenzentrumsbetreiber, eine TLD-Registry, ein OGAW-Verwalter. Ist der Kunde aus dieser Liste, beginnt das Scoping. Ist der Kunde ein Hotel, ein SaaS-Startup oder ein regionaler Händler, endet das Scoping meist mit „nicht im Anwendungsbereich, gute Sicherheitspraxis bleibt trotzdem geboten”.
Artikel 21 Absatz 2: die zehn Maßnahmen
Der Richtlinientext liest sich als zehn Buchstaben von a bis j. Jeder Buchstabe wird in meinem Projektarbeitsraum zu einem Ordner.
(a) Risikoanalyse und Sicherheit der Informationssysteme. Ein unterschriebenes Risikoregister mit Werten, Bedrohungen, Eintrittswahrscheinlichkeit, Auswirkung und Behandlung. Für WordPress: Produktionsserver, Staging-Server, Plugin-Set, Drittanbieter-APIs (Zahlung, E-Mail, Analyse, KI), Admin-Konten, Inhaltsdatenbank. Bedrohungen: Plugin-RCE, Credential Stuffing, Ransomware auf Backups, DSGVO-Verstoß über Export. Behandlung: Update-Rhythmus, MFA, externes verschlüsseltes Backup, WAF-Regelwerk.
(b) Bewältigung von Sicherheitsvorfällen. Erkennung, Klassifizierung, Reaktion, Wiederherstellung, Nachbereitung. Nachweis: ein IR-Runbook mit benannten Verantwortlichen, das auslösende Monitoring-Werkzeug (Wordfence, Sucuri, Hosting-IDS, Cloudflare-Alerts), der Slack- oder PagerDuty-Kanal, die Vorlage für die Nachbereitung.
(c) Aufrechterhaltung des Betriebs einschließlich Backup-Management und Wiederherstellung sowie Krisenmanagement. Backup mit externer Lagerung, definierte RPO und RTO, Wiederherstellung getestet. Krisenkommunikationsplan einschließlich Pressesprecher und Behördenkontakt. Jährliche Restore-Übung mit Bericht.
(d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen jeder Einrichtung zu ihren unmittelbaren Anbietern oder Diensteanbietern. Hier landet die WordPress-Agentur. Die regulierte Einrichtung muss ein Lieferantenregister führen, nach Kritikalität klassifizieren, Due Diligence durchführen und Sicherheitsklauseln in Verträge schreiben. Querverweis: DORA Artikel 28 hat dieselbe Logik, strenger für Finanzeinrichtungen.
(e) Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen einschließlich Schwachstellenbehandlung und -offenlegung. Dokumentierter sicherer Entwicklungslebenszyklus. Für WordPress: Code-Review für eigene Plugins und Themes, Dependency-Scanning (Snyk, Dependabot, der Plugin-Checker auf WordPress.org), eine E-Mail für Schwachstellenmeldungen, Patch-Management-Richtlinie.
(f) Strategien und Verfahren zur Bewertung der Wirksamkeit der Cybersicherheitsmaßnahmen. Internes Audit, externes Audit oder Penetrationstest. Nachweis: Scope-Beschreibung, Testbericht, Maßnahmen-Tracker, Retest-Protokoll.
(g) Grundlegende Cyberhygiene und Schulung. Jährliche Schulung aller Beschäftigten, rollenspezifische Schulung für Admins. Nachweis: Schulungsregister mit Namen, Daten und Inhalten.
(h) Strategien und Verfahren zur Verwendung von Kryptographie und gegebenenfalls Verschlüsselung. TLS 1.3 am Edge, Verschlüsselung der Backups, Verschlüsselung der Datenbank-Backups in Ruhe. Hash-Algorithmus-Richtlinie (kein MD5, kein SHA-1). Inventar der kryptographischen Schlüssel.
(i) Personalsicherheit, Konzepte für die Zugriffskontrolle und Anlagenmanagement. Joiner-Mover-Leaver-Prozess. Benannte Admin-Konten, keine geteilten Zugänge. Asset-Inventar einschließlich aller WordPress-Installationen, Staging-Umgebungen, Repository-Zugänge, Hosting-Konsolen-Zugänge. Vierteljährliche Zugriffsüberprüfung.
(j) Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und gesicherte Notfallkommunikation. MFA auf jeder WordPress-Admin-Anmeldung, jeder Hosting-Konsole, jeder CDN-Konsole, jedem Code-Repository, jedem E-Mail-Postfach. Keine Ausnahme für „interne Vertrauenskonten”.
Der Nachweispfad: vier Artefakte je Maßnahme
Für jeden der zehn Buchstaben erwarte ich vier Artefakte, wenn ein Auditor erscheint:
| Artefakt | Erscheinungsbild | Bedeutung |
|---|---|---|
| Richtliniendokument | Vom Management freigegeben, datiert, versioniert | Artikel 20 verlangt Freigabe und Aufsicht durch das Leitungsorgan |
| Prozessverantwortlicher | Eine benannte Rolle (CISO, Engineering-Leitung, Agenturleitung) | Auditoren akzeptieren „das Team” nicht als Verantwortlichkeit |
| Umsetzungsnachweis | Logs, Screenshots, Ticketnummern, Scan-Berichte, Vertragsklauseln | Beleg, dass die Richtlinie tatsächlich wirkt |
| Überprüfungsrhythmus | Jährlicher oder vierteljährlicher Review, Kalendereintrag, Protokoll | Schrankware ohne Review-Protokoll ist ein Audit-Befund |
Diese Vier-Spalten-Tabelle führe ich pro Buchstabe von Artikel 21 Absatz 2. Zehn Buchstaben, vierzig Artefakte. So sieht ein Audit-Ordner 2026 aus.
Meldefristen aus Artikel 23
Anhang II ist die Liste für den Regelbetrieb. Wenn ein Vorfall tatsächlich eintritt, gilt Artikel 23:
- 24 Stunden ab Kenntnisnahme: Frühwarnung an CSIRT oder zuständige Behörde.
- 72 Stunden ab Kenntnisnahme: Meldung mit Erstbewertung und Indikatoren.
- 1 Monat ab Kenntnisnahme: Abschlussbericht mit Ursache und umgesetzten Gegenmaßnahmen.
- Zwischenbericht jederzeit auf Anforderung der Aufsicht.
Das ausführliche Playbook für die ersten 24 Stunden steht im Artikel zu WordPress-Vorfallsreaktion unter NIS2.
Strafrahmen und Verantwortung des Managements
Artikel 34 setzt die Obergrenzen, die nationale Umsetzungsgesetze nicht unterschreiten dürfen:
- Wesentliche Einrichtungen: mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.
- Wichtige Einrichtungen: mindestens 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.
Artikel 20 Absatz 1 weist die Verantwortung den Leitungsorganen zu, einschließlich der Pflicht, die Umsetzung zu überwachen. Artikel 20 Absatz 2 verlangt, dass die Leitungsorgane Schulungen absolvieren. Nationale Umsetzungen können persönliche Sanktionen für die benannten verantwortlichen Personen ergänzen; das deutsche Umsetzungsgesetz ist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu verfolgen.
Was das für die Agentur bedeutet
Eine WordPress-Agentur, die 2026 regulierte Kunden behalten will, liefert in jedem Mandat zwei Artefakte:
- Eine Selbsterklärung gegen Artikel 21 Absatz 2 Buchstabe d mit den Sicherheitsmaßnahmen, die die Agentur selbst umsetzt.
- Ein Referenzdokument, das der Kunde in seinen eigenen Artikel-21-Ordner einfügen kann und das zeigt, wie das WordPress-Mandat auf jede der zehn Maßnahmen abbildet.
Beides bündele ich zu einem „Lieferanten-Sicherheitspaket” und lege es dem Angebot bei. Das spart die Schleife mit dem Einkauf und signalisiert Verständnis für den regulierten Kontext. Die Preisgestaltung für Compliance-Engineering-Mandate ist individuell; der Umfang des Ordners bestimmt die Stunden, nicht eine Listenpreis-Tabelle.
Cluster-Lektüre
- Pillar: NIS2 und DORA auf WordPress: Compliance-Stack 2026
- DORA Artikel 28 IKT-Drittparteirisiko: WordPress-Hosting- und WAF-Lieferanten-Audit
- WordPress-Vorfallsreaktion unter NIS2: 24-Stunden-Frühwarnungs-Playbook
- Cyber Resilience Act + NIS2 + DORA: der 2026er Compliance-Stack für headless WordPress
