NIS2 Online-Marktplatz: Fällt Ihr Kunde unter das BSIG?

Ein Unternehmen in Köln mit 70 Beschäftigten betreibt eine Plattform, auf der Hobbyisten untereinander gebrauchte Kamerateile verkaufen. Käufer zahlen über die Seite, Verkäufer versenden selbst, und Ihr MSP hostet den Stack. Fragen Sie den Gründer, ob das BSIG gilt, hören Sie: "Wir sind ein kleiner Online-Shop. Das ist Handel, keine kritische Infrastruktur."

Diese Antwort kann falsch sein. Eine Plattform, auf der Käufer Verträge mit externen Verkäufern schließen, ist ein NIS2 Online-Marktplatz. Digitale Anbieter dieser Art stehen in Anhang II, mit eigener Zuständigkeitsregel, eigener Registerpflicht und eigenen Meldeschwellen. So prüfen Sie das beim Kunden, und was das Ergebnis ändert.

NIS2 Online-Marktplatz: was die Richtlinie tatsächlich erfasst

Anhang II der Richtlinie nennt "digitale Anbieter" als Sektor. Drei Typen sind hier relevant: Anbieter von Online-Marktplätzen, von Online-Suchmaschinen und von Plattformen für Dienste sozialer Netzwerke. Sie gelten als wichtige Einrichtungen, nicht als besonders wichtige. Die Aufsicht ist daher überwiegend nachträglich. Freiwillig ist das nicht: Die Risikomanagementmaßnahmen nach Artikel 21 und die Meldepflicht nach Artikel 23 gelten voll.

In Deutschland setzt das novellierte BSIG die Richtlinie um. Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. Aufsichtsbehörde ist das BSI. Relevant sind § 28 (Begriffsbestimmungen), § 33 (Registrierung), § 38 (Haftung der Geschäftsleitung) und § 65 (Bußgelder).

Die Durchführungsverordnung (EU) 2024/2690, seit dem 7. November 2024 in Kraft, regelt die technische Seite. Artikel 1 nennt Marktplätze, Suchmaschinen und soziale Netzwerke unter den zehn erfassten Anbietertypen. Sie legt die Maßnahmen nach Artikel 21 Absatz 2 fest und bestimmt, wann ein Vorfall erheblich ist.

Kennen Sie unseren Beitrag zu digitaler Infrastruktur und der 30-Minuten-Regel? Die strengen Zeitschwellen dort gelten für DNS-, Cloud- und ähnliche Anbieter. Marktplätze, Suchmaschinen und soziale Netzwerke haben nutzerbezogene Schwellen.

Die drei Definitionen, die über den Scope entscheiden

Der Scope hängt an Artikel 6, nicht an der Selbstbeschreibung des Kunden.

Ein Online-Marktplatz ist über Artikel 2 Buchstabe n der Richtlinie 2005/29/EG definiert: ein Dienst, von oder im Namen eines Unternehmers betrieben, über den Verbraucher Fernabsatzverträge mit anderen Unternehmern oder Verbrauchern schließen können. Ein Shop, der nur eigene Ware verkauft, erfüllt das nicht. Eine Plattform, auf der Dritte anbieten, schon.

Eine Online-Suchmaschine ist über Artikel 2 Nummer 5 der Verordnung (EU) 2019/1150 definiert. Eine Suchfunktion auf der eigenen Seite zählt nicht. Ein Dienst, der websiteübergreifend sucht, schon.

Eine Plattform für Dienste sozialer Netzwerke definiert Artikel 6 selbst: eine Plattform, auf der Endnutzer sich über mehrere Geräte verbinden, teilen, entdecken und kommunizieren können, insbesondere über Chats, Beiträge, Videos und Empfehlungen. Community-Funktionen an einem Produkt reichen meist nicht. Ein Produkt, dessen Kern diese Interaktion ist, schon.

Grenzfälle sind häufig: ein Nischenforum mit bezahlten Anzeigen, ein B2B-Bestellportal mit Weiterverkauf durch Händler, eine App mit Chat-Ebene. Dokumentieren Sie die Begründung je Kunde. Ein dokumentiertes "nicht betroffen, weil X" zählt bei einer Prüfung mehr als eine unbelegte Annahme.

Größe und Einstufung: der Test, den Kunden überspringen

Die Größenregel gilt weiter. Der Anbieter muss mindestens mittelgroß sein: 50 oder mehr Beschäftigte, oder Jahresumsatz und Bilanzsumme beide über 10 Millionen Euro. Die Kölner Plattform mit 70 Beschäftigten erfüllt das. Ein Start-up mit 12 Personen und gleichem Dienst nicht.

Wer den Größentest besteht, ist eine wichtige Einrichtung. Das Bußgeld reicht bis 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Die Geschäftsleitung trägt die Verantwortung und haftet nach § 38 BSIG bei fahrlässiger Pflichtverletzung persönlich. Mehr zur Scope-Logik lesen Sie unter Gilt NIS2 für mein Unternehmen?.

Eine Aufsicht für die ganze EU: Artikel 26

Die meisten Sektoren unterliegen dem Land, in dem sie tätig sind. Marktplätze, Suchmaschinen und soziale Netzwerke folgen einer anderen Regel. Nach Artikel 26 Absatz 1 Buchstabe b unterliegen sie dem Mitgliedstaat, in dem sie ihre Hauptniederlassung in der Union haben.

Artikel 26 Absatz 2 definiert das als den Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheitsmaßnahmen überwiegend getroffen werden. Lässt sich das nicht feststellen, ist es der Ort, an dem die Cybersicherheitsmaßnahmen durchgeführt werden. Auch das unklar, gilt der Mitgliedstaat mit der Niederlassung mit den meisten Beschäftigten.

Für Ihre MSP-Kunden heißt das: Eine Plattform, die aus Köln betrieben wird, aber in Frankreich, Polen und den Niederlanden verkauft, hat eine zuständige Behörde, nicht vier. Ein Anbieter außerhalb der EU, der Dienste in der Union anbietet, muss nach Artikel 26 Absatz 3 einen Vertreter in einem Mitgliedstaat benennen, in dem er Dienste anbietet. Dieser Mitgliedstaat ist dann zuständig. Unser Beitrag Welche Aufsicht ist für Ihren Kunden zuständig? erklärt die Stufenfolge.

Registrierung: Artikel 27 und § 33 BSIG

Artikel 27 verpflichtet diese Anbieter, Identifikationsdaten für das von der ENISA geführte Register zu übermitteln. Die Liste ist konkret: Name, Sektor und Typ nach Anhang II, Anschrift der Hauptniederlassung und weiterer EU-Niederlassungen (oder des Vertreters), aktuelle Kontaktdaten, die Mitgliedstaaten, in denen Dienste angeboten werden, und die IP-Bereiche.

Die erste Übermittlung war bis zum 17. Januar 2025 fällig. Änderungen sind unverzüglich zu melden, spätestens innerhalb von drei Monaten. IP-Bereiche werden am häufigsten vergessen. Sie ändern sich mit jedem CDN- oder Hosting-Wechsel, und niemand sagt es dem Compliance-Verantwortlichen.

Zusätzlich gilt die nationale Registrierung beim BSI nach § 33 BSIG. Die Frist für bereits betroffene Einrichtungen lief am 6. März 2026 ab. Wer später betroffen wird, hat drei Monate ab Eintritt der Betroffenheit. Wie das ohne klare Zuständigkeit endet, zeigt der Registrierungsrückstand in Deutschland.

Meldeschwellen: 5 % der Nutzer oder 1 Million

Für Marktplätze, Suchmaschinen und soziale Netzwerke setzt die Durchführungsverordnung in den Artikeln 11, 12 und 13 nutzerbezogene Schwellen. Ein Vorfall ist erheblich, wenn der Dienst für mehr als 5 % der Nutzer in der Union oder mehr als 1 Million Nutzer vollständig oder eingeschränkt nicht verfügbar ist, je nachdem, was niedriger ist. Gleiches gilt für eine Datenkompromittierung in diesem Umfang.

Eine mutmaßlich böswillige Beeinträchtigung von Integrität, Vertraulichkeit oder Authentizität von Daten ist unabhängig von der Nutzerzahl erheblich. Artikel 3 ergänzt allgemeine Kriterien, darunter ein direkter finanzieller Verlust über 500.000 Euro oder 5 % des Jahresumsatzes, je nachdem, was niedriger ist.

Nehmen Sie einen Marktplatz mit 400.000 EU-Nutzern. Fünf Prozent sind 20.000. Ein Ausfall bei 20.000 Nutzern oder ein Leak von 20.000 Konten ist erheblich. Viele Teams halten die Millionengrenze für die Schwelle. Bei kleinen und mittleren Plattformen ist es der Prozentwert.

Ist ein Vorfall erheblich, greift die dreistufige Meldung nach Artikel 23. Die Meldefristen betragen 24 Stunden für die Frühwarnung, 72 Stunden für die Vorfallmeldung und einen Monat für den Abschlussbericht, hier an das BSI.

Wo die Aufsichten im Oktober 2026 stehen

Die Pflichten Ihres Kunden hängen davon ab, wie das Land der Hauptniederlassung die Richtlinie umgesetzt hat. Deutschland ist seit dem 6. Dezember 2025 live. Andere Mitgliedstaaten legiferieren noch, und Frankreich und Spanien stehen wegen fehlender Umsetzung vor dem Gerichtshof. Die Umsetzungsübersicht zeigt den ganzen Stand.

Was Sie diesen Monat prüfen

Gehen Sie je Plattformkunde fünf Fragen durch. Erfüllt der Dienst eine der drei Definitionen des Artikels 6? Besteht der Kunde den Größentest? Wo werden die Cybersicherheitsentscheidungen überwiegend getroffen, und welche Aufsicht gehört dazu? Ist der Kunde im BSI-Register eingetragen, und sind die Daten nach Artikel 27 aktuell, einschließlich IP-Bereichen? Und hat jemand die Nutzerzahlen gegen die Schwellen von 5 % und 1 Million gehalten?

Die ersten beiden beantworten Sie meist an einem Nachmittag. Die letzten drei decken die echten Lücken auf. Als strukturierten Einstieg machen Sie den kostenlosen NIS2-Readiness-Scan und nutzen das Ergebnis als Ausgangsbasis für das Kundengespräch.