2026年9月30日 · NIS-2 · Regulatorik · Compliance · Meldepflicht · Mittelstand

NIS-2 登记：期限已过——现在适用什么

NIS-2 登记期限已经届满。如何检查贵企业是否受影响、如何逾期补办登记，以及为什么真正的工作在登记之后才开始。

在 BSI 面向受 NIS-2 监管企业的页面上，目前最上方写着一句无需解读的话：“法定登记期限已经届满。”其下是一项要求：凡受影响且尚未登记者，应“立即”在 BSI 门户中进行登记。

本文面向在这个问题上仍不确定的企业——要么是因为从未检查过自身是否受影响，要么是因为推迟了登记。两者都可以补办。两者都不应再拖延。

三句话说清法律状况

新版《BSI 法》作为 2025 年 12 月 2 日法律（BGBl. 2025 I Nr. 301）的第 1 条获得通过，并于 2025 年 12 月 6 日生效。§ 33 第 1 款 BSIG 规定，特别重要机构和重要机构须在其“首次或再次”（„erstmals oder erneut“）被视为此类机构之后最迟三个月内向 BSI 登记。对于自法律生效起即属于其适用范围的所有机构而言，这一期限早在数月前就已届满。

“首次或再次”这一表述值得再看一眼。该期限并不是一个已经过去的一次性截止日。一家企业若因增长、收购或新的业务领域而跨过某个门槛，自该时间点起就又有三个月期限。因此，受影响情况检查不是一次性的练习，而应纳入年度规划。

我是否受影响？自我检查

决定性的是 § 28 BSIG。两个问题必须都回答“是”。

第一：贵企业的业务是否属于该法附件 1 和附件 2 所列的机构类型之一？ 区分两个附件很重要，因为它决定了可能的分类。附件 1 涵盖能源、交通运输、金融、卫生、水、数字基础设施和航天等行业。附件 2 的范围远远超出传统的 KRITIS 行业，例如列有邮政和快递服务、废物管理、批发和工业生产领域的食品企业，以及制造业中的机械制造、电气设备制造以及汽车和汽车零部件制造等。根据 § 28 第 3 款，相对于整体业务而言可忽略不计的业务活动可以不予考虑。

第二：贵企业是否达到规模门槛？ 对大多数企业而言适用：

  • 重要机构（附件 1 或附件 2 中的机构类型）：至少 50 名员工，或年营业额和年度资产负债表总额均超过 1000 万欧元。
  • 特别重要机构（仅限附件 1 中的机构类型）：至少 250 名员工，或年营业额超过 5000 万欧元且年度资产负债表总额超过 4300 万欧元。

因此，一家拥有 300 名员工的机械制造企业是重要机构，而非特别重要机构——机械制造列于附件 2——前提是它不运营关键设施，也不额外从事附件 1 中的业务。只有在属于附件 1 机构类型的情况下，同样的规模才会导致被归类为特别重要机构。

对于某些机构类型——例如信任服务提供方、DNS 服务提供方和电信服务提供方——适用不同的规则，甚至可以不论规模而被归类。在计算时，该法援引欧盟委员会的中小企业建议。如果贵企业在 IT 系统和流程方面独立于其伙伴企业或关联企业，则不计入这些企业的数据。

为进行初步归类，BSI 提供了一项在线受影响情况检查。它不能替代法律评估。但请以书面形式记录结果，连同其所依据的数字。即便是“不受影响”，也是一个在有疑问时您应当能够说明理由的结论。

错过期限后该怎么办

现在就登记。 法律中不存在可以等待的宽限期。根据 § 33 第 3 款，如果企业不履行其义务，BSI 也可以在与主管监管机构协商一致的情况下自行代为登记。而根据第 4 款：如果“事实足以支持这样的假定”（„Rechtfertigen Tatsachen die Annahme“），即某机构未履行其登记义务，则该机构须应 BSI 要求提交材料并提供信息。也就是说，继续观望者是把第一步交给了主管机关。

登记分两步进行：

  1. 申请 ELSTER 组织证书，通过“Mein Unternehmenskonto”服务办理。前提是拥有德国税号。部分激活数据通过邮寄送达；BSI 通常为此给出至少五个工作日。也就是说，今天开始办理者，最早要到下周才能进入门户。
  2. 使用该证书在 BSI 门户中登记。 需要填报的内容包括行业和机构类型、贵企业开展业务的欧盟成员国、主管监管机构以及一个 NIS-2 联络点等。§ 33 第 1 款还要求提供公网 IP 地址段。

两点实务提示。BSI 建议为每一位需要访问门户的人员各配一个 ELSTER 组织证书；第一个登记的人自动成为管理员。因此，请至少安排一名代理人——不要等到唯一的证书持有人正在休假、而恰好有一起事件需要报告时才想到。另外：如果所填信息日后发生变化，根据 § 33 第 5 款，须立即、最迟自知悉之日起两周内补报变更。

延误可能付出的代价。 未提交或未按时提交 § 33 规定的信息者，根据 § 65 BSIG 构成违反秩序行为；罚款上限可达 50 万欧元。针对实质性义务的罚款明显更高：对于违反风险管理义务或报告义务的行为，该法规定特别重要机构最高可罚 1000 万欧元，重要机构最高可罚 700 万欧元。总营业额超过 5 亿欧元的，罚款上限则可改为全球营业额的 2% 和 1.4%（分别对应特别重要机构和重要机构）。

登记只是第一步

通过登记，您是向 BSI 进行了申报。但真正要紧的那些义务，还一项都没有履行。

§ 30 规定的风险管理。 受影响机构必须采取适当、相称且有效的技术和组织措施——并记录其落实情况。最低目录包含十项，其中包括风险分析、安全事件处置、备份管理与恢复、供应链安全、漏洞管理、培训、密码学、访问控制以及多因素身份验证。

§ 32 规定的报告义务。 重大安全事件须分级报告：最迟在知悉后 24 小时内提交早期首次报告，最迟在 72 小时后提交附带初步评估的报告，并在 72 小时报告之后一个月提交最终报告（如事件仍在持续，则先提交进展报告）。BSI 明确指出，这些是最长时限，不应用尽。对落后者而言很重要的一点：据 BSI 称，尚未登记而遭受重大事件者，应通过报告与信息门户中的在线表单进行报告。未登记并不免除报告义务。

§ 38 规定的管理层义务。 管理层必须落实风险管理措施、监督其落实，并定期参加培训。对于因过错造成的损害，管理层依其法律形式所适用的公司法规则承担责任。工作可以委派，责任不可委派。

一个切实可行的顺序

对于今天发现自己受影响的企业，我们建议按以下顺序进行：本周申请 ELSTER 证书并记录受影响情况；收到证书后进行登记；同时确定一套在周五晚上也能运转的报告流程——谁发现、谁评估、谁报告，并配有代理人。随后，对照 § 30 的目录进行结构化的现状盘点，并制定按优先级排序的措施计划。BSI 的路线图“#nis2know”将这一做法划分为六个阶段，是一个实用的框架。

sector7 如何提供支持

登记本身只需几个步骤即可完成。对于之后的工作，我们提供支持：对贵企业的措施进行结构化盘点、制定按优先级排序的路线图并完成技术落实——详情请见监管与合规。作为外部信息安全官，我们也可应要求为您维护紧急情况下的报告渠道；技术措施请见网络安全。

本文是专业性的解读，不能替代针对个案的法律咨询。

来源

让我们聊聊您的具体情况。

预约洽谈+49 212 240915 0