Günstigste NIS2-konforme Online-Marktplatz-Anbieter: Vergleich 2026

• NIS2 verlangt von Nicht-EU-Online-Marktplätzen die Bestellung eines EU-Vertreters (Art. 26/27).
• REP27 — Europe Services, SE: 290–890 EUR/Jahr, deckt gesamten EWR ab, Mandatserteilung in 24h.
• Easy Cyber Protection: ab 49 €/Monat (Nano), alle CyFun-Stufen inklusive.
• NisAI: 2.500 €/Monat oder 20.000 €/Jahr, umfassende Compliance-Plattform.
• Preise Stand Oktober 2026; aktuelle Preise und Leistungen stets prüfen.

Aktualisiert 23 Oktober 2026 · 7 Quellen geprüft

Anbieter im Vergleich

Preise wie am 23 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was NIS2 für Online-Marktplätze verlangt (Artikel 26/27)

Die NIS2-Richtlinie (Richtlinie 2022/2555) ist das wichtigste EU-Cybersicherheitsgesetz für kritische und digitale Sektoren, darunter Online-Marktplätze. Für Nicht-EU-Unternehmen definiert Artikel 26(1)(b) die Reichweite: Jede außerhalb der EU ansässige Einheit, die bestimmte digitale Dienste wie Online-Marktplätze, Cloud-Computing, Managed Services und weitere in Anhang I/II aufgeführte Dienste anbietet, muss einen EU-Vertreter benennen. Dies ist keine Option: Der Vertreter ist gesetzlich vorgeschrieben, und seine Bestellung begründet die Zuständigkeit für Aufsicht und Durchsetzung.

Artikel 27 verlangt zudem die Registrierung bei der zuständigen Behörde des Mitgliedstaats, in dem der Vertreter ansässig ist. Die Registrierung muss detaillierte Angaben enthalten: Rechtsname, Handelsnamen, Adressen (außerhalb der EU und des Vertreters), Kontaktdaten, Sektor/Untersektor, bediente Mitgliedstaaten und genutzte öffentliche IP-Bereiche. Die IP-Bereiche sind oft am schwersten zu erfassen, da sie vom Infrastrukturteam kommen müssen.

Online-Marktplätze sind ausdrücklich im Geltungsbereich genannt. Das NIS2-Regime gilt für B2B- und B2C-Dienste, unabhängig von Unternehmensgröße oder Umsatz für diese digitalen Dienstkategorien. Die Registrierung ist keine einmalige Aufgabe: Änderungen (neue Dienste, IP-Bereiche, Kontaktdaten) müssen in der Regel innerhalb von drei Monaten gemeldet werden.

Das Versäumnis, einen Vertreter zu bestellen oder sich zu registrieren, kann hohe Bußgelder nach sich ziehen – bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für essenzielle Einheiten, und 7 Mio. € oder 1,4 % für wichtige Einheiten. Die Geschäftsleitung haftet persönlich für Compliance-Verstöße (Artikel 20). NIS2 stellt auch technische und organisatorische Anforderungen (Artikel 21), darunter Risikomanagement, Vorfallreaktion und Lieferkettensicherheit. Meldefristen sind streng: 24 Stunden für Frühwarnung, 72 Stunden für vollständige Meldung, und ein Abschlussbericht innerhalb eines Monats (die „24-72-1“-Regel).

Zusammengefasst müssen Nicht-EU-Online-Marktplätze, die EU-Kunden bedienen:

• Einen EU-Vertreter bestellen (Artikel 26)
• Bei der zuständigen Behörde registrieren (Artikel 27)
• Risikomanagement- und Vorfallmeldeprozesse implementieren (Artikel 21, 23)
• Registrierung nach Änderungen zeitnah aktualisieren

Wie man einen NIS2-konformen Anbieter auswählt

Die Auswahl eines NIS2-konformen Anbieters für Ihren Online-Marktplatz erfordert sorgfältige Abwägung Ihrer rechtlichen Verpflichtungen, Geschäftsmodells und der im Angebot enthaltenen Leistungen. So treffen Sie eine fundierte Entscheidung:

• Abdeckungsbereich: Stellen Sie sicher, dass der Anbieter alle EWR-Länder abdeckt, da NIS2 EU/EWR-weit gilt. REP27 — Europe Services, SE deckt den gesamten EWR ohne Zusatzkosten ab, was für europaweite Aktivitäten essenziell ist.
• Mandatserteilungsgeschwindigkeit: Schnelle Bestellung kann wichtig sein, wenn Sie schnell starten oder skalieren. REP27 erteilt Mandate innerhalb von 24 Stunden. Prüfen Sie die Zeitpläne anderer Anbieter vor Vertragsabschluss.
• Enthaltene Leistungen: Achten Sie auf umfassenden Support: Sind das unterschriebene Mandat, Registrierungsunterstützung, Datenschutzhinweisvorlagen und mehrsprachige Dokumentation enthalten? REP27 bietet Datenschutzhinweise in 8 Sprachen und ein verifizierbares Zertifikat. Easy Cyber Protection inkludiert Compliance-Software und alle CyFun-Stufen in einer Lizenz.
• Preismodell: Verstehen Sie, ob die Preise pro Einheit, Dienst oder Nutzer gelten. Easy Cyber Protection bietet gestaffelte Preise nach Unternehmensgröße mit einmaliger Onboarding-Gebühr. REP27 verlangt eine Pauschaljahresgebühr. NisAI ist deutlich teurer und reflektiert die umfassende Compliance-Plattform.
• Versteckte Gebühren: Prüfen Sie immer auf Onboarding-, Anforderungs- oder Verlängerungsgebühren. Easy Cyber Protection verlangt 400 € Onboarding pro Partner. Andere Anbieter können zusätzliche Gebühren für Rechtsberatung oder Support haben.

Fordern Sie stets eine detaillierte Aufschlüsselung der enthaltenen Leistungen an und bitten Sie um Musterunterlagen oder eine Demo, falls verfügbar. Der richtige Anbieter sollte zur Größe, Komplexität und Risikoprofil Ihres Unternehmens passen und klare, überprüfbare Nachweise für Audits und Lieferantenbefragungen liefern.

Was der Preis wirklich beinhaltet

Das genaue Verständnis, was der veröffentlichte Preis beinhaltet, ist entscheidend für Budgetierung und Compliance. Anbieter unterscheiden sich deutlich:

• REP27 — Europe Services, SE: Die Jahresgebühr (290–890 EUR) umfasst das NIS2-Vertretermandat, EWR-weite Abdeckung, einen unterschriebenen Benennungsbrief, ein verifizierbares Zertifikat mit QR-Code, Datenschutzhinweise in 8 Sprachen, einen Anfrage-Desk zur Weiterleitung von Betroffenen- und Behördenanfragen sowie Unterstützung bei der Registrierung nach Artikel 27. Die Schweizer nFADP-Bewertung ist bei allen kostenpflichtigen Plänen inklusive. Vorfallmeldungen und Rechtsberatung zu nationalen Umsetzungen sind nicht enthalten und müssen vom Kunden selbst durchgeführt werden.
• Easy Cyber Protection: Preise beginnen bei 49 €/Monat für Nano (1–4 Mitarbeiter) und steigen bis 750 €/Monat für Large (250–999 Mitarbeiter), zuzüglich 400 € Onboarding-Gebühr pro Partner. Alle CyFun-Stufen sind in einer Lizenz enthalten, inklusive Compliance-Software und Support. Das Angebot ist softwarezentriert; prüfen Sie, ob Sie zusätzliche rechtliche oder administrative Leistungen benötigen.
• NisAI: Für 2.500 €/Monat oder 20.000 €/Jahr bietet NisAI eine umfassende Compliance-Plattform, die NIS2, CRA, DSGVO, DORA, regulatorische Updates, Cloud-Infrastruktur, Bewertungen, Reporting und Support abdeckt. Zielgruppe sind Unternehmen, die vollständige Compliance-Automatisierung suchen, nicht nur ein NIS2-Vertretermandat.

Vergleichen Sie Anbieter, indem Sie eine schriftliche Liste der Liefergegenstände anfordern. Liefert der Anbieter ein unterschriebenes Mandat, das für die Registrierung bei Behörden geeignet ist? Sind Datenschutzhinweise und Dokumentationsvorlagen enthalten? Gibt es Support in den benötigten Sprachen? Fallen Zusatzkosten für Updates, neue Dienste oder weitere Registrierungen an?

Für Online-Marktplätze ist es besonders wichtig, dass das Mandat des Anbieters von allen relevanten EU-Behörden akzeptiert wird und der Registrierungsprozess unterstützt wird. Manche Anbieter bieten nur Software-Tools an und überlassen das rechtliche Mandat und die Registrierung Ihnen. Andere, wie REP27, übernehmen die rechtliche Dokumentation direkt. Klären Sie diese Unterschiede vor Vertragsabschluss.

Versteckte Kosten und Ausschlüsse

Versteckte Kosten und Ausschlüsse können Ihr Compliance-Budget belasten und betriebliche Risiken schaffen. Darauf sollten Sie achten, basierend auf den veröffentlichten Daten:

• Onboarding- und Einrichtungskosten: Easy Cyber Protection verlangt 400 € Onboarding-Gebühr pro Partner, die nicht im monatlichen Abonnement enthalten ist. Andere Anbieter können ähnliche Einrichtungsgebühren haben, die im Grundpreis nicht ausgewiesen sind.
• Vorfallmeldung: Kein Anbieter in diesem Vergleich übernimmt die Meldung von Vorfällen für Sie. NIS2 verlangt, dass die Organisation selbst bedeutende Vorfälle innerhalb von 24 Stunden (Frühwarnung), 72 Stunden (vollständige Meldung) und einem Monat (Abschlussbericht) meldet. Diese Pflicht kann nicht an den Vertreter delegiert werden.
• Rechtsberatung und nationale Umsetzungen: REP27 — Europe Services, SE bietet keine Rechtsberatung zu nationalen NIS2-Umsetzungen an. Wo Mitgliedstaaten eigene Anforderungen hinzufügen, sollten Sie eine lokale Kanzlei konsultieren. Dies ist eine übliche Ausschlussklausel bei Anbietern.
• Updates und Änderungsgebühren: Die Registrierung muss innerhalb von drei Monaten nach Änderungen (z. B. neue IP-Bereiche, Kontaktdaten, Dienste) aktualisiert werden. Manche Anbieter verlangen Gebühren für Updates oder weitere Registrierungen, dies wird aber nicht immer offen kommuniziert. Fragen Sie stets nach der Änderungs- und Update-Politik des Anbieters.
• Haftungsbeschränkungen und Kündigungsfristen: Anbieter können ihre Haftung im Vertrag begrenzen oder Kündigungsfristen verlangen. Diese Bedingungen sind selten in Marketingmaterialien sichtbar, können aber Ihr Risiko beeinflussen. Prüfen Sie den Vertrag vor Unterzeichnung sorgfältig.

Um Überraschungen zu vermeiden, fordern Sie eine vollständige Gebührenübersicht an und fragen Sie explizit nach:

• Einmaligen und wiederkehrenden Gebühren
• Kosten für Zusatzleistungen oder Support
• Gebühren für Updates und Änderungen
• Kündigungsfristen
• Haftungsbeschränkungen und Ausschlüsse

Transparenz ist entscheidend: Ein seriöser Anbieter stellt diese Informationen schriftlich vor Vertragsabschluss bereit.

So funktioniert die Bestellung: Schritt für Schritt

Die Bestellung eines NIS2-Vertreters und die Registrierung sind mehrstufige Prozesse. Hier eine praktische Anleitung basierend auf Anforderungen und Anbieterprozessen:

1. Geltungsbereich prüfen: Bestätigen Sie, dass Ihr Unternehmen ein Nicht-EU-Unternehmen ist, das einen Anhang I/II-Dienst (z. B. Online-Marktplatz) für EU-Kunden anbietet. Wenn nicht, gilt NIS2 nicht.
2. Rechtliche Einheiten und Dienste erfassen: Identifizieren Sie, welche rechtliche Einheit welchen Dienst für europäische Kunden erbringt und wo diese ansässig ist. Dies ist für korrekte Registrierung und Mandatsvergabe essenziell.
3. Anbieter auswählen: Wählen Sie einen NIS2-Vertreteranbieter, der Ihren Anforderungen und Budget entspricht. Berücksichtigen Sie Geschwindigkeit, Abdeckung und enthaltene Leistungen.
4. Mandat unterschreiben: Der Anbieter stellt ein unterschriebenes Mandat aus (oft innerhalb von 24 Stunden, z. B. bei REP27). Dieses Dokument ist für die Registrierung erforderlich und muss archiviert werden.
5. Registrierungsdaten zusammenstellen: Bereiten Sie erforderliche Informationen vor: Rechtsname, Handelsnamen, eingetragene Adresse (außerhalb der EU), Adresse des Vertreters, Kontaktdaten, Sektor/Untersektor, bediente Mitgliedstaaten und öffentliche IP-Bereiche. Die IP-Bereiche erfordern oft Koordination mit IT- oder Infrastrukturteam und können bis zu zwei Wochen dauern.
6. Registrierung einreichen: Registrieren Sie sich bei der zuständigen Behörde des Mitgliedstaats, in dem Ihr Vertreter ansässig ist. Das Formular verlangt Angaben zum Vertreter und unterstützende Dokumente.
7. Bei Bedarf aktualisieren: Wenn sich Details ändern (z. B. neue IP-Bereiche, neue Dienste, Kontaktänderungen), benachrichtigen Sie die Behörde und aktualisieren Sie die Registrierung innerhalb der vorgeschriebenen Frist (meist drei Monate).

Checkliste für Käufer:

1. Prüfen, ob Ihr Dienst im Anhang I/II von NIS2 gelistet ist
2. Bestätigen, dass Ihr Unternehmen nicht in der EU ansässig ist
3. Rechtliche Einheiten und Dienstleistungsangebote erfassen
4. Vertreteranbieter auswählen und bestellen
5. Alle erforderlichen Registrierungsdaten sammeln
6. Registrierung bei zuständiger Behörde einreichen
7. Risikomanagement- und Vorfallreaktionsprozesse dokumentieren
8. Erinnerungen für quartalsweise Überprüfung und Aktualisierung setzen

Die Einhaltung dieser Checkliste hilft, NIS2-Verpflichtungen effizient zu erfüllen und teure Verzögerungen oder Compliance-Verstöße zu vermeiden.

Risiken und Bußgelder bei Nicht-Einhaltung

NIS2 wird mit erheblichen Strafen und betrieblichen Risiken bei Nicht-Einhaltung durchgesetzt. Folgendes sollten Sie wissen:

• Bußgelder: Für essenzielle Einheiten (darunter viele Online-Marktplätze) können Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist. Für wichtige Einheiten liegt das Maximum bei 7 Mio. € oder 1,4 % des Umsatzes. Diese Strafen sind keine Theorie: Behörden können hohe Sanktionen bei fehlender oder unvollständiger Registrierung, Nichtbestellung eines Vertreters oder unzureichendem Risikomanagement verhängen.
• Persönliche Haftung: Artikel 20 von NIS2 legt persönliche Verantwortung der Geschäftsleitung für Cybersicherheitsverstöße fest. Das bedeutet, dass Führungskräfte für Pflichtverletzungen haftbar gemacht werden können, nicht nur das Unternehmen.
• Betriebliche Risiken: Nicht-Einhaltung kann zum Ausschluss von öffentlichen Ausschreibungen, Verlust des Marktzugangs oder Reputationsschäden führen. Behörden können auch Korrekturmaßnahmen anordnen oder die Nicht-Einhaltung öffentlich machen.
• Versäumnisse bei Vorfallmeldungen: Das Verpassen der 24-Stunden-Frist für Frühwarnung oder 72-Stunden-Frist für vollständige Meldung kann Untersuchungen und zusätzliche Strafen auslösen. Kein Anbieter in diesem Vergleich übernimmt die Meldung für Sie; diese Pflicht liegt bei Ihrer Organisation.
• Risiken bei Registrierung und Audit: Ungenaue oder veraltete Registrierungsdaten können bei Audits oder Lieferantenbewertungen zu Compliance-Verstößen führen. Das paneuropäische Register von ENISA ist für Behörden EU-weit zugänglich, was grenzüberschreitende Durchsetzung wahrscheinlicher macht.

Um Risiken zu mindern, bestellen Sie einen qualifizierten Vertreter, pflegen Sie eine genaue und aktuelle Registrierung, implementieren Sie robustes Risikomanagement und Vorfallreaktionsprozesse und stellen Sie sicher, dass die Geschäftsleitung ihre Pflichten unter NIS2 kennt.

Entscheidungsmatrix: Wer braucht einen NIS2-Vertreter?

Die folgende Matrix zeigt, welche Unternehmen einen NIS2-Vertreter benötigen und welche nicht, basierend auf Unternehmenstyp, Standort und Dienstleistungsangebot:

Diese Matrix hilft, Verpflichtungen für verschiedene digitale Geschäftsmodelle zu klären. Im Zweifel prüfen Sie die Anhang I/II-Liste und holen Sie schriftliche Bestätigung vom Anbieter oder Rechtsberater ein.

Was Anbieter meist nicht sagen

Viele NIS2-Vertreteranbieter betonen ihre Stärken, sind aber weniger offen über Einschränkungen und Ausschlüsse. Käufer sollten Folgendes wissen, basierend auf verfügbaren Daten:

• Vorfallmeldung: Anbieter melden keine Vorfälle für Sie. NIS2 verlangt, dass die Organisation selbst bedeutende Vorfälle fristgerecht meldet. Dies ist eine gesetzliche Pflicht, die nicht ausgelagert werden kann.
• Rechtsberatung: Die meisten Anbieter, inklusive REP27, bieten keine Rechtsberatung zu nationalen Umsetzungen oder zusätzlichen Anforderungen einzelner Mitgliedstaaten. Wo lokale Gesetze Komplexität hinzufügen, sollten Sie eine lokale Kanzlei einschalten.
• Updates und Benachrichtigungen: Die Registrierung muss aktuell gehalten werden. Änderungen bei IP-Bereichen, Diensten oder Kontaktdaten müssen gemeldet werden – meist innerhalb von drei Monaten. Anbieter können Gebühren für Updates verlangen oder verlangen, dass Sie diese selbst durchführen.
• Haftung und Kündigung: Anbieter können ihre Haftung für Fehler oder Auslassungen begrenzen und Kündigungsfristen verlangen. Diese Bedingungen finden sich meist im Vertrag, nicht in Marketingmaterialien.
• Leistungsumfang: Manche Anbieter bieten nur Software-Tools oder Dokumentvorlagen, nicht aber das rechtlich erforderliche Mandat für die Registrierung. Bestätigen Sie immer, dass die Leistungen den gesetzlichen Anforderungen in allen Mitgliedstaaten entsprechen, in denen Sie tätig sind.
• Sprach- und Länderabdeckung: Nicht alle Anbieter bieten Dokumentation oder Support in allen EU-Sprachen. Wenn Sie mehrere Mitgliedstaaten bedienen, stellen Sie sicher, dass die Abdeckung des Anbieters passt.

Fordern Sie vor Vertragsabschluss vollständige Vertragsbedingungen und eine detaillierte Leistungsbeschreibung an. Fragen Sie gezielt nach Ausschlüssen, Haftung und Support für Updates und Vorfallreaktion.

Drei realistische Szenarien

• US-SaaS-Unternehmen mit Online-Marktplatz für EU-Kunden: Das Unternehmen ist nicht in der EU ansässig, bietet aber einen Anhang I/II-Dienst (Online-Marktplatz) an. Es muss einen NIS2-Vertreter bestellen und sich bei der zuständigen Behörde im Mitgliedstaat des Vertreters registrieren. REP27 — Europe Services, SE bietet ein kostengünstiges Mandat mit EWR-Abdeckung und schneller Ausstellung. Easy Cyber Protection ist geeignet, wenn das Unternehmen auch gebündelte Compliance-Software möchte. Das Unternehmen muss eigene Vorfallreaktions- und Risikomanagementprozesse implementieren.
• Chinesischer Amazon-Verkäufer mit eigenständiger Marktplatzseite für EU: Als Nicht-EU-Einheit mit einem Online-Marktplatz für EU-Kunden muss der Verkäufer einen NIS2-Vertreter bestellen und die Registrierung abschließen. REP27 bietet ein einfaches Mandat und Registrierungsunterstützung. Easy Cyber Protection kann gewählt werden, wenn integrierte Compliance-Tools gewünscht sind. Der Verkäufer muss öffentliche IP-Bereiche vom Hosting-Anbieter erfassen und alle Registrierungsdaten korrekt und aktuell halten.
• UK-Online-Shop (kein Marktplatz), verkauft nur physische Waren: Der Shop fällt nicht unter NIS2, da kein Anhang I/II-Dienst angeboten wird. Keine Bestellung eines NIS2-Vertreters oder Registrierung erforderlich. Das Unternehmen sollte andere Pflichten prüfen (z. B. DSGVO Artikel 27 bei EU-Personendaten), aber NIS2 gilt nicht.

Diese Szenarien zeigen praktische Schritte und Verpflichtungen für unterschiedliche Geschäftsmodelle. Entscheidend ist, Ihr Dienstleistungsangebot mit der Anhang I/II-Liste abzugleichen und entsprechend zu handeln.