Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Am 31. Juli 2026 ist die Nachfrist für die NIS-2-Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) abgelaufen. Von den rund 29.500 betroffenen Unternehmen und Bundesbehörden waren zuletzt etwa 18.500 im BSI-Portal erfasst.
Es fehlen damit rund 11.000 Einrichtungen – gut ein Drittel. Die Registrierung ist dabei keine Formalie: Sie ist eine gesetzliche Pflicht nach § 33 BSIG, und ihr Versäumnis ist ein eigenständiger Bußgeldtatbestand.
Dieser Beitrag informiert, wer betroffen ist, wie die NIS-2-Registrierung abläuft, welche Bußgelder drohen und welche Pflichten mit dem Eintrag im BSI-Portal erst beginnen.
Das Wichtigste zur NIS-2 Registrierung im Überblick
- Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025, die gesetzliche Registrierungsfrist nach § 33 BSIG endete am 6. März 2026.
- Der vom BSI genannte 31. Juli 2026 war keine Fristverlängerung, sondern eine Vollzugszurückhaltung der Aufsicht.
- Betroffene Einrichtungen müssen sich selbst identifizieren - es gibt keine Bescheide und keine Aufforderung durch eine Behörde.
- Die Registrierung läuft zweistufig: erst „Mein Unternehmenskonto" mit ELSTER-Organisationszertifikat (mehrere Werktage), dann das BSI-Meldeportal.
- Eine fehlende Registrierung kann mit bis zu 500.000 Euro geahndet werden, Mängel im Risikomanagement nach § 30 BSIG mit bis zu 10 Millionen Euro.
- Nach der Registrierung greifen Meldepflichten mit 24-Stunden-Frist und die persönlichen Pflichten der Geschäftsleitung nach § 38 BSIG.
Warum die NIS-2-Registrierung stockt
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz trat am 6. Dezember 2025 in Kraft, das Meldeportal des BSI ging am 6. Januar 2026 in Betrieb. Die gesetzliche Drei-Monats-Frist des § 33 BSIG endete damit am 6. März 2026 – zu diesem Zeitpunkt hatte sich nur ein Bruchteil der erwarteten Einrichtungen gemeldet.
Juristisch ist eine Unterscheidung wichtig: Eine Behörde kann eine gesetzliche Frist nicht verlängern. Das BSI hat lediglich angekündigt, Nachmeldungen bis zum 31. Juli 2026 zu akzeptieren und bis dahin von Sanktionen abzusehen. Der Ordnungswidrigkeitentatbestand bestand seit dem 7. März 2026 – und besteht weiter. Wer die NIS-2-Registrierung jetzt nachholt, beendet den laufenden Verstoß, nicht die Vergangenheit.
Zahlen zur Registrierungslücke
Das BSI erwartet rund 29.500 registrierungspflichtige Einrichtungen. Registriert waren zuletzt etwa 18.500 – die Lücke umfasst damit rund 11.000 Unternehmen und Bundesbehörden.
Viele Unternehmen wissen nicht, dass sie betroffen sind, weil die Zuordnung über Sektor, Teilsektor und Größenklasse erfolgt und nicht über eine behördliche Mitteilung. Alexander Goller vom Sicherheitsanbieter Illumio ordnet das Problem grundsätzlicher ein: Cybersicherheit werde „vielerorts noch immer nicht genug Priorität eingeräumt“, Anforderungen würden als „administratives Ärgernis“ statt als Risikomanagement behandelt. Die Registrierungslücke sei deshalb ein Indikator für eine dahinterliegende Resilienzlücke.
Wer zur NIS-2-Registrierung verpflichtet ist
Die Betroffenheit ergibt sich aus zwei Kriterien, die gemeinsam erfüllt sein müssen: Sektorzugehörigkeit und Unternehmensgröße. Die Anlagen 1 und 2 des BSIG listen 18 Sektoren, darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen, Chemie, Lebensmittel und verarbeitendes Gewerbe.
Die Größenschwellen orientieren sich an der EU-KMU-Definition: Betroffen sind Unternehmen mit mindestens 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Als besonders wichtige Einrichtung gilt, wer in einem Sektor der Anlage 1 mindestens 250 Beschäftigte hat oder über 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme erreicht, Betreiber kritischer Anlagen unabhängig von ihrer Größe. Alle übrigen erfassten Organisationen sind wichtige Einrichtungen – der Unterschied wirkt sich auf Aufsichtsintensität und Bußgeldrahmen aus, nicht auf die NIS-2-Registrierungspflicht selbst.
Kurzinfos dazu: BSI „NIS-2-Meldepflicht“
NIS-2-Registrierung im BSI-Portal
Der technische Ablauf ist zweistufig, und der erste Schritt ist der zeitkritische. Für die Anmeldung am BSI-Meldeportal wird ein Zugang über „Mein Unternehmenskonto“ benötigt, der auf einem ELSTER-Organisationszertifikat basiert. Dessen Beantragung dauert mehrere Werktage, weil ein Teil der Zugangsdaten per Post versendet wird. Die eigentliche Registrierung ist anschließend in unter einer Stunde erledigt.
1
Zugang beantragen
ELSTER-Organisationszertifikat für „Mein Unternehmenskonto“ beantragen, falls noch nicht vorhanden. Das ist der längste Schritt im Verfahren und gehört deshalb an den Anfang.
2
Stammdaten und Einordnung
Offizieller Name laut Handelsregister, Rechtsform, Registernummer, Umsatz und Beschäftigtenzahl eintragen, dazu Sektor und Teilsektor nach Anlage 1 oder 2 BSIG und die Einstufung als besonders wichtige oder wichtige Einrichtung.
3
Kontaktstellen benennen
Drei Ansprechpartner hinterlegen: allgemeine Kommunikation, Sicherheitsfragen und eine rund um die Uhr erreichbare Notfallstelle – benannte Personen mit direkter Rufnummer, keine Verteileradressen.
4
Technische Angaben und Pflege
Öffentlich erreichbare IPv4- und IPv6-Bereiche in CIDR-Notation angeben, mindestens die größten Präfixe, bei Cloud- und Hosting-Nutzung auch die dort gebuchten Blöcke. Änderungen sind anschließend kurzfristig nachzuziehen.
Infos zu Bußgelder und Haftung
| Verstoß | Bußgeldrahmen nach § 65 BSIG |
|---|---|
| Registrierung fehlt oder ist verspätet (§ 33 BSIG) | bis zu 500.000 Euro |
| Risikomanagement mangelhaft (§ 30 BSIG), besonders wichtige Einrichtung | bis zu 10 Millionen Euro, ab 500 Millionen Euro Umsatz bis zu 2 Prozent des weltweiten Jahresumsatzes |
| Risikomanagement mangelhaft (§ 30 BSIG), wichtige Einrichtung | bis zu 7 Millionen Euro beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes |
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich selbst regelmäßig zu Cyberrisiken schulen zu lassen. Diese Pflichten sind nicht delegierbar: Die Bestellung eines Informationssicherheitsbeauftragten verlagert Aufgaben, nicht die Verantwortung. Weil § 30 BSIG zudem eine Dokumentationspflicht enthält, entscheidet im Aufsichtsfall die Nachweislage.
Pflichten nach der NIS-2-Registrierung
Die NIS-2-Registrierung ist ein Eintrag in einer Datenbank, keine Compliance. Materiell verlangt § 30 BSIG zehn Maßnahmenbereiche – dies sind die wichtigsten:
- Risikoanalyse und Sicherheitskonzepte - dokumentiert und regelmäßig aktualisiert.
- Bewältigung von Sicherheitsvorfällen - definierte Prozesse, Verantwortliche und Meldewege.
- Business Continuity und Krisenmanagement - Backup-Konzept, Wiederherstellung, Notbetrieb.
- Sicherheit der Lieferkette - Anforderungen an Dienstleister und Zulieferer.
- Kryptografie und Zugriffskontrolle - inklusive Multi-Faktor-Authentifizierung für alle Zugriffswege.
- Personalsicherheit und Schulungen - für Beschäftigte und Geschäftsleitung.
Operativ am relevantesten ist die Meldepflicht des § 34 BSIG. Bei einem erheblichen Sicherheitsvorfall gilt eine Kette aus drei Fristen:
Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme, Folgemeldung mit Bewertung innerhalb von 72 Stunden und Abschlussmeldung innerhalb eines Monats.
24 Stunden sind wenig, wenn der Meldeweg im Vorfall erst gesucht werden muss – Zugang zum Meldeportal, Zuständigkeiten und Eskalationswege gehören daher in den Notfallplan und sollten geübt werden. Betreiber kritischer Anlagen erbringen zusätzlich alle drei Jahre Nachweise nach § 39 BSIG.
Empfehlungen für IT-Admins
Die folgenden Punkte bilden die Arbeitsliste, wenn die Registrierung noch offen ist oder der Stand nicht belastbar dokumentiert wurde:
- Betroffenheit strukturiert prüfen: Sektor und Teilsektor nach Anlage 1 und 2 BSIG zuordnen, Beschäftigtenzahl, Umsatz und Bilanzsumme gegenprüfen, Ergebnis schriftlich festhalten.
- ELSTER-Organisationszertifikat für „Mein Unternehmenskonto" beantragen, falls noch nicht vorhanden.
- Registrierungsdaten zusammenstellen: Handelsregisterdaten, öffentliche IP-Präfixe in CIDR-Notation, drei benannte Kontaktstellen inklusive 24/7-Erreichbarkeit.
- NIS-2-Registrierung im BSI-Meldeportal abschließen und die Eingangsbestätigung revisionssicher ablegen.
- Prozess für Datenänderungen festlegen: Wer meldet neue IP-Bereiche, Kontaktwechsel oder Umfirmierungen an das BSI?
- Meldewege in den Notfallplan aufnehmen, Verantwortliche für die 24-Stunden-Erstmeldung benennen und den Ablauf testen.
- Lückenanalyse gegen die zehn Maßnahmenbereiche des § 30 BSIG fahren und offene Punkte mit Termin und Verantwortlichkeit versehen.
- In Unternehmensgruppen je Rechtseinheit prüfen - die Pflicht trifft die Einrichtung.
Bedeutung für Geschäftsführung und Entscheider
Für die Geschäftsleitung sind drei Punkte relevant:
1. ist die NIS-2-Registrierung der sichtbarste Teil der Pflichten und damit der einfachste Prüfpunkt für die Aufsicht: Ob eine Einrichtung registriert ist, lässt sich ohne Vor-Ort-Prüfung feststellen. Wer fehlt, fällt zuerst auf.
2. verschiebt sich der Aufwand nach hinten, wenn er nicht jetzt entsteht. Die Kette aus Betroffenheitsprüfung, Zugangsbeantragung, Registrierung und Lückenanalyse lässt sich planvoll über Monate abarbeiten – oder unter Aufsichtsdruck in wenigen Wochen. Der zweite Weg ist teurer und bindet dieselben Personen, die im Vorfall gebraucht werden.
3. wirkt NIS-2 zunehmend über den Markt: Ausschreibungen, Versicherer und Kunden aus regulierten Sektoren fragen den Umsetzungsstand aktiv ab. Auch nicht betroffene Unternehmen begründen ihren Status daher besser mit einer dokumentierten Prüfung als mit einer Vermutung.
FAQ zur NIS-2-Registrierung
Ja. Die gesetzliche Frist des § 33 BSIG endete bereits am 6. März 2026, der 31. Juli 2026 war lediglich eine Vollzugszurückhaltung des BSI. Die Registrierungspflicht besteht unverändert und sollte unverzüglich nachgeholt werden.
An Sektor und Größe. Betroffen sind Einrichtungen aus den Sektoren der Anlagen 1 und 2 BSIG mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Eine behördliche Mitteilung gibt es nicht - die Prüfung obliegt dem Unternehmen und sollte dokumentiert werden.
Bis zu 500.000 Euro nach § 65 BSIG. Mängel im Risikomanagement nach § 30 BSIG sind deutlich höher bedroht: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen.
Der Eintrag im BSI-Meldeportal ist bei vollständiger Vorbereitung in unter einer Stunde erledigt. Zeitkritisch ist das ELSTER-Organisationszertifikat für „Mein Unternehmenskonto", dessen Beantragung mehrere Werktage in Anspruch nimmt.
Risikomanagement nach § 30 BSIG mit zehn Maßnahmenbereichen und Dokumentationspflicht, Meldepflichten nach § 34 BSIG mit 24 Stunden, 72 Stunden und einem Monat sowie die persönlichen Pflichten der Geschäftsleitung nach § 38 BSIG.
Fazit
Die NIS-2-Registrierungslücke von rund 11.000 Einrichtungen zeigt vor allem ein Informations- und Priorisierungsproblem, kein technisches.
Die NIS-2-Registrierung selbst ist in unter einer Stunde erledigt, sobald der Zugang über „Mein Unternehmenskonto“ steht. Aufwendig sind die Vorarbeit – die belastbare Betroffenheitsprüfung – und die Umsetzung danach.
Mit dem 31. Juli 2026 ist die Phase der Nachsicht beendet, die Pflicht aber unverändert in Kraft. Wer die eigene Einordnung bisher nicht dokumentiert hat, sollte damit beginnen: Sie ist die Grundlage für alles Weitere und im Zweifel der erste Nachweis, den die Aufsicht sehen will.