Deine Website prüffest machen. In einer Woche, mit dokumentiertem Stand der Technik . NIS2

Nein, Updates sind die Mindestanforderung, nicht der ganze Standard. „Stand der Technik" nach NIS2 umfasst zusätzlich: aktive HTTP-Security-Header, dokumentierte Backup-Strategie mit Restore-Tests, MFA für Admin-Konten, Monitoring, Incident-Response-Konzept, Rechte-Management. Wer nur Updates fährt, ist 2026 nicht prüffest und im Schadensfall nicht ausreichend abgesichert.

Drei Szenarien, alle realistisch. Szenario 1: Großkunde fragt Selbstauskunft an, du kannst nicht liefern. Du verlierst den Auftrag oder bist in der Lieferanten-Liste degradiert. Szenario 2: Sicherheitsvorfall. Reputationsschaden, ggf. Datenschutzmeldung, Versicherer prüft Mitverschulden wegen unzureichender Vorkehrungen. Szenario 3: Behörden-Audit oder Bußgeld-Verfahren. Persönliche Geschäftsführer-Haftung nach § 38 BSIG-neu, Bußgelder bis 10 Millionen Euro.

Weil die wichtigsten Härtungsmaßnahmen in einer Woche umsetzbar sind. Du sollst nicht erst einen 12-Monats-Vertrag unterschreiben, um zu erfahren, ob du gut aufgestellt bist. Der Sprint gibt dir den nachweisbaren Stand der Technik. Laufende Wartung und Monitoring kommen optional über ein Care-Paket. Aber erst, wenn du den Sprint hattest.

Wenn deine IT auf Web-Security spezialisiert ist und aktiv NIS2-Anforderungen umsetzt, dann nicht. Wenn deine IT ein generalistisches Team ist, das primär Server, Office und Endpoints betreut, dann ja. Web-Security ist eine eigene Disziplin mit eigenen Werkzeugen, eigenen Standards (OWASP, Mozilla Observatory) und eigenen typischen Schwachstellen. Wir arbeiten gerne mit deiner IT zusammen, als externe Spezialisten für den Web-Stack.

Wir sind keine reinen IT-Sicherheits-Berater, sondern Webentwickler mit 18 Jahren TYPO3-, WordPress- und Server-Erfahrung. Das heißt: Wir kennen die typischen Schwachstellen der CMS-Welt aus eigener Praxis, nicht aus Schulungs-Folien. Christian Jäger ist TYPO3-zertifizierter Integrator und arbeitet seit 2008 in der Webentwicklung. Bei tieferen IT-Security-Themen (Pentest, ISMS, Endpoint-Protection) vermitteln wir an Partner. Bei Web-Security machen wir es selbst.

ISO 27001 ist ein umfassendes Information Security Management System (ISMS), das ein bis zwei Jahre Aufbauzeit braucht und eigene Zertifizierungs-Kosten hat. Für die meisten Mittelständler ist das überzogen, solange kein expliziter Großkunde es fordert. Unser Sprint adressiert die NIS2-Anforderungen im Web-Bereich. Wenn du später eine ISO-Zertifizierung anstrebst, ist unser Sprint ein guter Baustein, aber kein Ersatz.

Ja, aber: Wenn du gerade einen aktiven Sicherheitsvorfall hast (Ransomware, kompromittierte Site, Datenleck), brauchst du erst Incident-Response, also forensische Analyse, Schadensbegrenzung, Behörden-Meldung. Das ist eine andere Disziplin. Wir vermitteln in dem Fall sofort an Partner und kommen mit dem Security Sprint hinterher, sobald die akute Phase abgeschlossen ist.

Der Sprint deckt die Website- und CMS-Sicherheit ab, inklusive Shop-Komponenten wie Bezahl-Strecken, Login-Bereiche, Kundenkonten-Verwaltung. Was er nicht abdeckt: PCI-DSS-Compliance für Kartenzahlungen (das machen deine Payment-Provider) und tiefgehende Penetrationstests gegen den Checkout (separate Disziplin, vermitteln wir bei Bedarf). Für die meisten KMU-Shops ist der Premium-Sprint die richtige Wahl.

Bei freier Kapazität ab Vertragsabschluss innerhalb von 5 bis 10 Werktagen. Wenn du eine akute NIS2-Anfrage vom Großkunden hast und Zeitdruck, sag uns das im Erstgespräch, wir versuchen umzuplanen. Bei Notfällen mit aktivem Sicherheitsvorfall siehe Frage 8.