30. September 2026 · NIS-2 · Regulatorik · Compliance · Meldepflicht · Mittelstand

NIS-2-Registrierung: Frist abgelaufen – was jetzt gilt

Die NIS-2-Registrierungsfrist ist abgelaufen. Wie Sie Ihre Betroffenheit prüfen, verspätet registrieren und warum danach die eigentliche Arbeit beginnt.

Auf der Seite des BSI für NIS-2-regulierte Unternehmen steht derzeit ganz oben ein Satz, der keine Auslegung braucht: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Darunter folgt die Aufforderung, sich „jetzt umgehend“ im BSI-Portal zu registrieren, wer betroffen und noch nicht registriert ist.

Dieser Beitrag richtet sich an Unternehmen, die bei dieser Frage noch nicht sicher sind – entweder, weil sie ihre Betroffenheit nie geprüft haben, oder weil sie die Registrierung aufgeschoben haben. Beides lässt sich nachholen. Beides sollte nicht länger warten.

Die Rechtslage in drei Sätzen

Das neue BSI-Gesetz wurde als Artikel 1 des Gesetzes vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) beschlossen und ist am 6. Dezember 2025 in Kraft getreten. § 33 Absatz 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, sich spätestens drei Monate, nachdem sie „erstmals oder erneut“ als solche gelten, beim BSI zu registrieren. Für alle, die seit Inkrafttreten unter das Gesetz fallen, ist diese Frist seit Monaten verstrichen.

Die Formulierung „erstmals oder erneut“ verdient einen zweiten Blick. Die Frist ist kein einmaliger Stichtag, der hinter uns liegt. Ein Unternehmen, das durch Wachstum, einen Zukauf oder ein neues Geschäftsfeld eine Schwelle überschreitet, hat ab diesem Zeitpunkt wieder drei Monate. Die Betroffenheitsprüfung ist deshalb keine einmalige Übung, sondern gehört in die jährliche Planung.

Bin ich betroffen? Der Selbstcheck

Maßgeblich ist § 28 BSIG. Zwei Fragen müssen beide mit Ja beantwortet werden.

Erstens: Gehört Ihre Tätigkeit zu einer der Einrichtungsarten in den Anlagen 1 und 2 des Gesetzes? Die Unterscheidung zwischen den beiden Anlagen ist wichtig, weil sie über die mögliche Einstufung entscheidet. Anlage 1 umfasst die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 reicht weit über die klassischen KRITIS-Sektoren hinaus und nennt etwa Post- und Kurierdienste, Abfallbewirtschaftung, Lebensmittelunternehmen in Großhandel und industrieller Produktion und im verarbeitenden Gewerbe unter anderem den Maschinenbau, die Herstellung elektrischer Ausrüstungen und die Herstellung von Kraftwagen und Kraftwagenteilen. Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können nach § 28 Absatz 3 unberücksichtigt bleiben.

Zweitens: Erreichen Sie die Größenschwellen? Für die meisten Unternehmen gilt:

  • Wichtige Einrichtung (Einrichtungsarten aus Anlage 1 oder 2): mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro.
  • Besonders wichtige Einrichtung (nur Einrichtungsarten aus Anlage 1): mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro.

Ein Maschinenbauer mit 300 Mitarbeitern ist also eine wichtige, keine besonders wichtige Einrichtung – der Maschinenbau steht in Anlage 2 –, sofern er nicht eine kritische Anlage betreibt oder zusätzlich eine Tätigkeit aus Anlage 1 ausübt. Nur mit einer Einrichtungsart aus Anlage 1 führt dieselbe Größe zur Einstufung als besonders wichtig.

Für einige Einrichtungsarten – etwa Vertrauensdiensteanbieter, DNS-Diensteanbieter und Telekommunikationsanbieter – gelten abweichende Regeln bis hin zur Einstufung unabhängig von der Größe. Bei der Berechnung verweist das Gesetz auf die KMU-Empfehlung der EU-Kommission. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen mit Blick auf seine IT-Systeme und -Prozesse von ihnen unabhängig ist.

Für die erste Einordnung stellt das BSI eine Online-Betroffenheitsprüfung bereit. Sie ersetzt keine rechtliche Bewertung. Halten Sie das Ergebnis aber schriftlich fest, samt der Zahlen, auf die es sich stützt. Auch ein „nicht betroffen“ ist eine Aussage, die Sie im Zweifel begründen können sollten.

Was tun, wenn die Frist verpasst ist

Registrieren Sie sich jetzt. Das Gesetz kennt keine Nachfrist, die man abwarten könnte. Das BSI kann die Registrierung nach § 33 Absatz 3 im Einvernehmen mit der zuständigen Aufsichtsbehörde auch selbst vornehmen, wenn ein Unternehmen seiner Pflicht nicht nachkommt. Und nach Absatz 4 gilt: „Rechtfertigen Tatsachen die Annahme“, dass eine Einrichtung ihre Registrierungspflicht nicht erfüllt, muss sie dem BSI auf Verlangen Unterlagen vorlegen und Auskunft erteilen. Wer abwartet, überlässt den ersten Schritt also der Behörde.

Die Registrierung läuft in zwei Schritten:

  1. ELSTER-Organisationszertifikat beantragen über den Dienst „Mein Unternehmenskonto“. Voraussetzung ist eine deutsche Steuernummer. Ein Teil der Aktivierungsdaten kommt per Post; das BSI nennt dafür regelmäßig mindestens fünf Werktage. Wer heute beginnt, ist also frühestens in der kommenden Woche im Portal.
  2. Registrierung im BSI-Portal mit diesem Zertifikat. Abgefragt werden unter anderem Sektor und Einrichtungsart, die EU-Mitgliedstaaten, in denen Sie tätig sind, die zuständigen Aufsichtsbehörden und eine NIS-2-Kontaktstelle. § 33 Absatz 1 verlangt zudem die öffentlichen IP-Adressbereiche.

Zwei praktische Hinweise. Das BSI empfiehlt ein ELSTER-Organisationszertifikat pro Person, die Zugriff auf das Portal haben soll; wer sich zuerst registriert, wird automatisch Verwalter. Planen Sie also mindestens eine Vertretung ein – nicht erst dann, wenn der einzige Zertifikatsinhaber im Urlaub ist und ein Vorfall gemeldet werden muss. Und: Ändern sich die Angaben später, sind die Änderungen nach § 33 Absatz 5 unverzüglich, spätestens jedoch binnen zwei Wochen ab Kenntnis nachzumelden.

Was ein Versäumnis kosten kann. Wer eine Angabe nach § 33 nicht oder nicht rechtzeitig übermittelt, handelt nach § 65 BSIG ordnungswidrig; der Bußgeldrahmen reicht bis 500.000 Euro. Deutlich höher liegt er bei den inhaltlichen Pflichten: Für Verstöße gegen die Risikomanagement- oder Meldepflichten sieht das Gesetz bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen vor. Bei einem Gesamtumsatz von mehr als 500 Millionen Euro können es stattdessen bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes sein.

Die Registrierung ist nur der erste Schritt

Mit der Registrierung melden Sie sich beim BSI an. Erfüllt ist damit noch keine der Pflichten, um die es eigentlich geht.

Risikomanagement nach § 30. Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen – und deren Einhaltung dokumentieren. Der Mindestkatalog umfasst zehn Punkte, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

Meldepflichten nach § 32. Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung einen Monat nach der 72-Stunden-Meldung (bei andauerndem Vorfall zunächst eine Fortschrittsmeldung). Das BSI stellt klar, dass dies Maximalzeiten sind, die nicht ausgereizt werden sollten. Wichtig für Nachzügler: Wer noch nicht registriert ist und einen erheblichen Vorfall erleidet, meldet ihn laut BSI über ein Online-Formular im Melde- und Informationsportal. Die fehlende Registrierung entbindet nicht von der Meldung.

Pflichten der Geschäftsleitung nach § 38. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Für schuldhaft verursachte Schäden haftet sie nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Die Arbeit lässt sich delegieren, die Verantwortung nicht.

Eine realistische Reihenfolge

Für ein Unternehmen, das heute feststellt, dass es betroffen ist, empfehlen wir diese Abfolge: in dieser Woche das ELSTER-Zertifikat beantragen und die Betroffenheit dokumentieren; nach Eingang des Zertifikats registrieren; parallel einen Meldeprozess festlegen, der auch am Freitagabend trägt – wer bemerkt, wer bewertet, wer meldet, mit Vertretung. Danach folgt eine strukturierte Bestandsaufnahme gegen den Katalog des § 30 mit einem priorisierten Maßnahmenplan. Die BSI-Roadmap „#nis2know“ gliedert dieses Vorgehen in sechs Phasen und ist ein brauchbarer Rahmen.

Wie sector7 unterstützt

Die Registrierung selbst ist in wenigen Schritten erledigt. Bei dem, was danach kommt, unterstützen wir: mit einer strukturierten Bestandsaufnahme Ihrer Maßnahmen, einer priorisierten Roadmap und der technischen Umsetzung – mehr dazu unter Regulatorik & Compliance. Als externer Informationssicherheitsbeauftragter pflegen wir auf Wunsch auch Ihre Meldewege für den Ernstfall; die technischen Maßnahmen finden Sie unter Cyber Security.

Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren+49 212 240915 0