TYPO3-Betrieb nach NIS2

NIS2 verpflichtet die Organisation selbst, nicht ihre Dienstleister. Die Richtlinie verlangt aber ausdrücklich, die Sicherheit der Lieferkette in das Risikomanagement aufzunehmen. Für eine Website oder ein Intranet heißt das: Sie brauchen einen Betrieb, der seine Maßnahmen beschreibt, einhält und belegt.

Unsere Infrastruktur ist als Code beschrieben, mit Terraform und Ansible. Jeder Server entsteht aus versionierten Definitionen, jede Änderung ist nachvollziehbar und prüfbar. Daraus leiten sich unsere technischen und organisatorischen Maßnahmen (TOMs) ab. Das Dokument und den Auftragsverarbeitungsvertrag erhalten Sie auf Anfrage schon vor Vertragsabschluss. Unser Informationssicherheits-Managementsystem bauen wir derzeit nach ISO/IEC 27001 auf.

In Österreich setzt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025)  (externer Link) die NIS2-Richtlinie um. Es ist seit 1. Oktober 2026 in Kraft. Betroffene Einrichtungen müssen sich innerhalb von drei Monaten registrieren, also bis Ende 2026 (§ 29 Abs. 3). Ob Ihre Organisation darunter fällt, hängt von Branche und Größe ab; das klären Sie am besten mit Ihrer Rechtsberatung.

Fällt sie darunter, gehört die Website zu den Systemen, für die Sie Risikomanagement betreiben und Nachweise führen. Für den Teil, den wir betreiben, liefern wir diese Nachweise: Update-Protokolle, eine Übersicht der Zugänge, den Sicherungs- und Wiederherstellungsplan, die Meldekette und unsere technischen und organisatorischen Maßnahmen. Welche Nachweise das im Einzelnen sind, zeigt unser Artikel NIS2 und die eigene Website.

Vor der Plattform liegen die Schichten, die Angriffe abfangen, bevor sie TYPO3 erreichen: ein Content Delivery Network, eine Web Application Firewall, DDoS-Schutz und Regeln gegen Bots. Dazu kommen Sicherheits-Header, eine Content-Security-Policy und eine strenge TLS-Konfiguration auf dem Webserver.

Welcher Anbieter davor sitzt, entscheiden Ihre Anforderungen. Zählen digitale Souveränität und der Datenstandort, setzen wir auf europäische Anbieter. Den Betrieb selbst richten wir On-Premises, in EU-Rechenzentren oder hybrid ein, mit festen Servicezeiten und bei Bedarf zusätzlicher Rufbereitschaft.