NIS2 2026: Was die EU-Cybersicherheitsrichtlinie für Marktplatz-Händler bedeutet

Die kurze Antwort: Die meisten reinen Marktplatz-Händler fallen nicht direkt unter NIS2. Erfasst sind die Betreiber der Online-Marktplätze selbst — sie zählen zum Sektor der digitalen Dienste im Anhang II der Richtlinie (EU) 2022/2555. Wer lediglich als Händler auf Amazon, Otto, Kaufland, eBay oder Temu verkauft, erbringt keinen eigenen digitalen Dienst im Sinne der Richtlinie und ist deshalb in der Regel nicht Adressat der Pflichten.

Das ist die gute Nachricht. Die schlechte: Es gibt drei Konstellationen, in denen Sie trotzdem betroffen sein können — über eine zweite Geschäftstätigkeit, über eine Konzernstruktur oder indirekt über die Lieferkettenanforderungen Ihrer Partner. Dieser Beitrag ordnet ein, was 2026 tatsächlich gilt, und sagt klar, wo die Grenze verläuft.

NIS2 in Deutschland: Rechtslage und Fristen 2026

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit, formal die Richtlinie (EU) 2022/2555. Sie löst die erste NIS-Richtlinie ab und weitet den Kreis der regulierten Sektoren deutlich aus.

Deutschland hat die Vorgaben durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt. Kern der Umsetzung ist das novellierte BSI-Gesetz (BSIG). Das Gesetz ist am 6. Dezember 2025 in Kraft getreten (Quelle: OpenKRITIS und übereinstimmende Fachberichte, Stand 2026).

Damit gelten die Pflichten seitdem unmittelbar. Nach Schätzungen fallen rund 29.500 Unternehmen in Deutschland unter die Aufsicht des Bundesamts für Sicherheit in der Informationstechnik (BSI) (Quelle: Fachberichte zur NIS2-Umsetzung, Stand 2026). Vor der Umsetzung waren es nur einige Hundert.

Zwei Fristen sind wichtig. Die Registrierungspflicht beim BSI nach § 33 BSIG lief drei Monate nach Inkrafttreten aus, also zum 6. März 2026. Das BSI hat betroffenen Einrichtungen anschließend eine Nachfrist bis zum 31. Juli 2026 eingeräumt (Quelle: LocateRisk und Kleeberg, Juli 2026). Wer die Registrierung versäumt, riskiert ein Bußgeld von bis zu 500.000 Euro nach § 65 BSIG.

Die ehrliche Antwort: Sind Marktplatz-Händler betroffen?

In der Regel nein — und diese Klarstellung ist wichtiger als jede Panikmache, die Ihnen 2026 in Newslettern begegnet.

NIS2 erfasst im Sektor "digitale Dienste" (Anhang II) unter anderem Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke. Ein Online-Marktplatz ist dabei definiert als Dienst, der es Verbrauchern ermöglicht, über eine Software, Website oder Anwendung Fernabsatzverträge mit anderen Unternehmern oder Verbrauchern abzuschließen.

Entscheidend ist das Wort "Anbieter". Adressat der Pflichten ist der Betreiber der Plattform, nicht der Händler, der auf ihr verkauft (Quelle: OpenKRITIS, Sektorübersicht digitale Dienste, Stand 2026). Wenn Sie Ihre Ware über Amazon oder Otto verkaufen, betreiben Sie keinen Online-Marktplatz — Sie nutzen einen.

Hinzu kommt die Größenschwelle. Für den Sektor der digitalen Dienste greift die Einstufung als wichtige Einrichtung erst ab der Größe eines mittleren Unternehmens, orientiert an mindestens 50 Beschäftigten beziehungsweise mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Die exakte Verknüpfung der Kriterien regelt das BSIG; im Zweifel hilft die Betroffenheitsprüfung des BSI weiter.

Auch der eigene Onlineshop macht Sie nicht automatisch zum Marktplatzbetreiber. Ein Shop, in dem ausschließlich Sie selbst Ware verkaufen, ist kein Marktplatz im Sinne der Definition, weil er keine Verträge zwischen Dritten vermittelt. Sobald Sie allerdings andere Händler auf Ihrer eigenen Plattform verkaufen lassen, ändert sich diese Bewertung.

Drei Konstellationen, in denen Sie doch betroffen sein können

Es lohnt sich, diese drei Fälle einmal durchzugehen, statt das Thema pauschal abzuhaken.

Erstens: eine zweite Geschäftstätigkeit in einem erfassten Sektor. NIS2 erfasst deutlich mehr als IT. Dazu zählen unter anderem Produktion und Herstellung bestimmter Güter, die Verarbeitung und der Vertrieb von Lebensmitteln, Transport und Logistik sowie Postdienste. Wer neben dem Marktplatzgeschäft selbst produziert oder als Logistikdienstleister auftritt, sollte genau prüfen, ob er über diesen Weg in den Anwendungsbereich fällt.

Zweitens: Konzern- und Unternehmensverbund. Bei der Größenermittlung sind verbundene Unternehmen unter Umständen zusammenzurechnen. Eine kleine Vertriebsgesellschaft kann so über die Muttergesellschaft in den Anwendungsbereich rutschen. Prüfen Sie das anhand Ihrer tatsächlichen Beteiligungsstruktur, nicht anhand der Mitarbeiterzahl der operativen Einheit.

Drittens: eigene Plattformfunktionen. Wenn Sie einen Multi-Vendor-Shop, eine Vermittlungsplattform oder einen eigenen Marktplatz betreiben, sind Sie potenziell selbst Anbieter eines digitalen Dienstes. Das gilt auch dann, wenn dieses Geschäft nur ein Nebenzweig ist.

AMZ+ Consulting empfiehlt Händlern, diese Prüfung schriftlich zu dokumentieren. Nicht, weil eine Meldepflicht besteht, sondern weil Sie die Bewertung später gegenüber Partnern, Versicherern und Banken belegen können sollten.

Was NIS2 von betroffenen Unternehmen konkret verlangt

Auch wenn Sie selbst nicht betroffen sind, hilft es zu wissen, was Ihre Plattformpartner und Dienstleister erfüllen müssen. Denn genau diese Anforderungen werden weitergereicht.

Betroffene Einrichtungen müssen Risikomanagementmaßnahmen nach § 30 BSIG umsetzen. Dazu gehören unter anderem Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Backup- und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie sowie Schulungen und Konzepte zur Multi-Faktor-Authentisierung.

Hinzu kommen gestaffelte Meldepflichten nach § 32 BSIG. Ein erheblicher Sicherheitsvorfall ist innerhalb von 24 Stunden als Erstmeldung anzuzeigen, innerhalb von 72 Stunden folgt eine ausführlichere Meldung und binnen eines Monats die Abschlussmeldung. Meldungen gehen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Der Bußgeldrahmen ist gestaffelt: Besonders wichtige Einrichtungen können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes belegt werden, wichtige Einrichtungen mit bis zu 7 Millionen Euro oder 1,4 Prozent (Quelle: secjur, Übersicht NIS2-Strafen, Stand 2026). Zusätzlich nimmt das Gesetz die Geschäftsleitung ausdrücklich in die Verantwortung — Cybersicherheit ist damit endgültig kein reines IT-Thema mehr.

In 7 Schritten prüfen, ob NIS2 Sie betrifft

Der folgende Ablauf dauert für ein mittelständisches Handelsunternehmen typischerweise einen halben Tag.

1. Geschäftstätigkeiten vollständig auflisten. Schreiben Sie alle Tätigkeiten auf, mit denen Ihr Unternehmen Umsatz erzielt — nicht nur das Marktplatzgeschäft. Nehmen Sie dabei auch Nebengeschäfte, Beteiligungen und Schwestergesellschaften auf. Diese Liste ist die Grundlage für alles Weitere.
2. Jede Tätigkeit den NIS2-Sektoren zuordnen. Gleichen Sie Ihre Liste mit den Sektoren aus Anhang I und Anhang II der Richtlinie ab. Achten Sie besonders auf Produktion, Lebensmittel, Transport, Post- und Kurierdienste sowie digitale Dienste. Notieren Sie für jede Tätigkeit ein klares Ja oder Nein mit Begründung.
3. Größenkriterien für den Verbund ermitteln. Bestimmen Sie Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme — und zwar für den relevanten Unternehmensverbund, nicht nur für die operative Gesellschaft. Ziehen Sie im Zweifel Ihren Steuerberater hinzu. Ohne diese Zahlen ist keine belastbare Aussage möglich.
4. Betroffenheitsprüfung des BSI durchlaufen. Das BSI stellt eine strukturierte Prüfung bereit, mit der Sie Ihre Einordnung nachvollziehen können. Dokumentieren Sie das Ergebnis mit Datum und Screenshot. Bei negativem Ergebnis haben Sie damit einen belastbaren Nachweis für Ihre Akte.
5. Bei Betroffenheit sofort die Registrierung nachholen. Die reguläre Frist ist abgelaufen und die Nachfrist des BSI endete am 31. Juli 2026. Eine verspätete Registrierung ist trotzdem besser als keine, weil sie die Kooperationsbereitschaft dokumentiert. Holen Sie in diesem Fall rechtlichen Rat ein, bevor Sie handeln.
6. Vertragslage mit Plattformen und Dienstleistern prüfen. Sehen Sie nach, ob Ihre Verträge mit Marktplätzen, Fulfillment-Dienstleistern oder Softwareanbietern bereits Sicherheitsanforderungen enthalten. Diese Klauseln nehmen häufig NIS2-Anforderungen auf und binden Sie vertraglich, auch ohne gesetzliche Pflicht. Markieren Sie alle Punkte, die Sie heute nicht erfüllen.
7. Eigenes Sicherheitsniveau ehrlich bewerten. Prüfen Sie unabhängig von der Betroffenheit die Basics: Multi-Faktor-Authentisierung auf allen Marktplatzkonten, getestete Backups, dokumentierte Zugriffsrechte und ein Notfallkontakt. Legen Sie für jede Lücke einen Verantwortlichen und ein Datum fest. Diese Arbeit lohnt sich unabhängig von jeder Regulierung.

Praxis-Szenario: Wenn der Vertragspartner die Pflichten weitergibt

Das folgende Szenario ist ein Modellbeispiel zur Veranschaulichung. Es beschreibt keinen realen Kundenfall.

Ein Händler mit 28 Mitarbeitenden verkauft über Amazon, Otto und Kaufland sowie über einen eigenen Shop. Er produziert nicht selbst und betreibt keinen Marktplatz. Die Prüfung ergibt eindeutig: NIS2 gilt für ihn nicht direkt.

Im Frühjahr 2026 schickt sein Fulfillment-Dienstleister eine Vertragsergänzung. Darin verpflichtet sich der Händler unter anderem zu Multi-Faktor-Authentisierung an allen Schnittstellen, zur Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden und zu einem jährlichen Nachweis über Backup-Tests. Grund: Der Dienstleister selbst fällt als Logistikunternehmen unter NIS2 und muss die Sicherheit seiner Lieferkette nach § 30 BSIG absichern.

In der Praxis von AMZ+ Consulting ist genau dieser Weg der häufigste Berührungspunkt von Händlern mit NIS2.

Der Händler ist damit faktisch gebunden — nicht durch Gesetz, sondern durch Vertrag. Wer diese Anforderungen nicht erfüllen kann, verliert im Zweifel den Dienstleister. Genau über diesen Weg wird NIS2 für viele Händler 2026 praktisch relevant, ohne dass sie je Adressat der Richtlinie waren.

Wie Sie sich auf solche Anforderungen und auf Ausfälle in der Lieferkette vorbereiten, beschreibt unser Beitrag zum Krisenmanagement bei Lieferengpässen. Für die Auswahl von Logistikpartnern lohnt zusätzlich ein Blick auf die Kriterien für 3PL-Fulfillment-Dienstleister.

NIS2 im Zusammenspiel mit CRA, DSA und der eigenen Kontosicherheit

NIS2 ist nicht die einzige Regulierung, die 2026 auf Händler wirkt, und sie ist nicht einmal die relevanteste.

Der Cyber Resilience Act (CRA) betrifft Produkte mit digitalen Elementen und trifft damit Händler unmittelbar, sobald sie solche Produkte in Verkehr bringen. Das ist für viele Sortimente die deutlich greifbarere Pflicht; die Einordnung dazu finden Sie in unserem Beitrag zum Cyber Resilience Act. Der Digital Services Act (DSA) wiederum regelt Pflichten von Plattformen und wirkt über Nachweispflichten auf Händler durch — dazu haben wir den DSA für Händler aufbereitet.

Der praktische Kern bleibt in allen drei Fällen derselbe: saubere Zugriffsverwaltung, funktionierende Backups, klare Zuständigkeiten. Für Marktplatz-Händler beginnt das bei der Absicherung der Verkäuferkonten selbst; die konkreten Maßnahmen dazu stehen in unserem Beitrag zu Cybersicherheit und Kontosicherheit. Das gilt analog für Amazon, Otto und Kaufland.

Ein Kontoverlust auf einem Hauptkanal kostet in der Regel mehr als jede Compliance-Maßnahme, die ihn verhindert hätte. Diese Rechnung ist der eigentliche Grund, warum AMZ+ Consulting Händlern zu einem strukturierten Sicherheitskonzept rät — auch außerhalb des NIS2-Anwendungsbereichs.

Was Sie jetzt tun können

Arbeiten Sie in dieser Reihenfolge, dann ist das Thema in wenigen Tagen abgeschlossen.

Klären Sie zuerst Ihre Betroffenheit und dokumentieren Sie das Ergebnis schriftlich mit Datum. In den meisten Fällen wird das Ergebnis lauten: nicht direkt betroffen. Diese eine Seite Dokumentation erspart Ihnen künftig jede Diskussion.

Prüfen Sie danach Ihre Verträge mit Marktplätzen, Logistikern und Softwareanbietern auf neue Sicherheitsklauseln. Listen Sie auf, welche Anforderungen Sie heute schon erfüllen und welche nicht. Setzen Sie für die Lücken konkrete Termine.

Härten Sie parallel Ihre eigene Infrastruktur: Multi-Faktor-Authentisierung auf allen Marktplatz- und Werbekonten, ein getesteter Backup-Prozess und eine aktuelle Übersicht, wer auf welches System Zugriff hat. Wo Sie Bestände, Preise und Kennzahlen kanalübergreifend steuern, gehört diese Zugriffsverwaltung ebenfalls dazu — in unserer eigenen KI-Plattform MarketplAIce ist sie deshalb Teil der Einrichtung, nicht ein optionaler Zusatz.

Wenn Sie unsicher sind, ob Ihre Struktur in den Anwendungsbereich fällt, buchen Sie ein Kostenloses Erstgespräch. Wir ordnen Ihre Situation ein und sagen Ihnen offen, wenn kein Handlungsbedarf besteht. Eine Rechtsberatung im Einzelfall ersetzt dieses Gespräch nicht.

FAQ: Häufige Fragen zu NIS2 für Händler

Gilt NIS2 für mich, wenn ich nur auf Amazon und Otto verkaufe?

In aller Regel nicht. NIS2 erfasst im Bereich der digitalen Dienste die Anbieter von Online-Marktplätzen, also die Plattformbetreiber. Als Händler nutzen Sie diese Plattformen, betreiben sie aber nicht, und sind deshalb nicht Adressat der Pflichten.

Seit wann gilt NIS2 in Deutschland?

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz novelliert. Seitdem gelten die Pflichten für betroffene Einrichtungen unmittelbar. Grundlage ist die Richtlinie (EU) 2022/2555.

Welche Fristen gab es für die Registrierung beim BSI?

Die Registrierungspflicht nach § 33 BSIG lief drei Monate nach Inkrafttreten aus, also zum 6. März 2026. Das BSI gewährte anschließend eine Nachfrist bis zum 31. Juli 2026. Eine verspätete Registrierung kann nach § 65 BSIG mit bis zu 500.000 Euro geahndet werden.

Macht mich mein eigener Onlineshop zum Marktplatzbetreiber?

Nein, solange Sie darin ausschließlich eigene Ware verkaufen. Ein Online-Marktplatz im Sinne der Definition vermittelt Verträge zwischen Dritten. Sobald Sie fremde Händler auf Ihrer Plattform verkaufen lassen, ist die Einordnung neu zu prüfen.

Wie hoch sind die Bußgelder bei NIS2?

Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4 Prozent (Quelle: secjur, Stand 2026). Zusätzlich kann die Geschäftsleitung persönlich in die Verantwortung genommen werden.

Was bedeutet die Meldepflicht von 24 Stunden praktisch?

Betroffene Einrichtungen müssen einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden als Erstmeldung anzeigen, nach 72 Stunden folgt eine detailliertere Meldung und nach einem Monat die Abschlussmeldung. Adressat ist die gemeinsame Meldestelle von BSI und BBK. Wer betroffen ist, braucht dafür einen definierten internen Ablauf und benannte Verantwortliche.

Sollte ich als nicht betroffener Händler trotzdem etwas tun?

Ja, aber aus wirtschaftlichen und nicht aus rechtlichen Gründen. Multi-Faktor-Authentisierung, getestete Backups und eine saubere Rechteverwaltung schützen Ihre Marktplatzkonten und Ihre Umsätze. Zudem verlangen immer mehr Vertragspartner diese Maßnahmen inzwischen ohnehin.

Über den Autor

Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren auf Amazon, Otto und Kaufland für Händler aktiv. Er unterstützt Händler dabei, regulatorische Anforderungen einzuordnen und die daraus folgenden Aufgaben in den Arbeitsalltag zu integrieren. Dieser Beitrag stellt keine Rechtsberatung dar; für die Bewertung im Einzelfall ziehen Sie bitte eine Rechtsanwältin oder einen Rechtsanwalt hinzu.

Kostenloses Erstgespräch buchen

Zuletzt aktualisiert: 25.08.2026