NIS2-Registrierung: BSI-Frist endet am 31. Juli 2026

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine letzte Nachfrist gesetzt: Bis zum 31. Juli 2026 duldet die Behörde verspätete NIS2-Registrierungen – danach müssen säumige Unternehmen mit Konsequenzen rechnen. Die ursprüngliche gesetzliche Frist ist bereits am 6. März 2026 abgelaufen, doch von den rund 29.500 registrierungspflichtigen Unternehmen in Deutschland hatten sich bis dahin nur etwa 11.500 gemeldet. Bis Ende Mai stieg die Zahl auf rund 18.500 – es fehlen also noch immer über 10.000 Unternehmen.

Wenn Ihr Unternehmen zu den Nachzüglern gehört – oder Sie noch gar nicht geprüft haben, ob Sie betroffen sind –, ist jetzt der Moment zu handeln. Dieser Beitrag erklärt, wer sich registrieren muss, wie die Registrierung abläuft und warum sie nur der erste Schritt der NIS2-Compliance ist.

Was ist passiert? Die BSI-Nachfrist im Überblick

Mit dem NIS2-Umsetzungsgesetz, das die europäische NIS2-Richtlinie in deutsches Recht überführt, wurde die Registrierungspflicht in § 33 des novellierten BSI-Gesetzes (BSIG) verankert. Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb von drei Monaten nach Feststellung ihrer Betroffenheit über das Portal des BSI registrieren.

Weil ein erheblicher Teil der betroffenen Unternehmen diese Pflicht bislang nicht erfüllt hat, gewährt das BSI nun eine befristete Duldung für verspätete Registrierungen bis zum 31. Juli 2026. Das ist ausdrücklich keine Fristverlängerung im rechtlichen Sinne: Die gesetzliche Pflicht besteht fort, und wer sich innerhalb der Duldungsfrist meldet, vermeidet lediglich, dass die verspätete Registrierung sanktioniert wird. Nach dem 31. Juli ist mit verstärkten Kontrollen und Bußgeldverfahren zu rechnen.

Warum das BSI jetzt Druck macht

Die Registrierung ist für die Aufsicht das zentrale Instrument, um überhaupt zu wissen, wer unter die Regulierung fällt. Ohne vollständiges Register kann das BSI weder Meldewege etablieren noch im Ernstfall gezielt warnen. Die niedrige Registrierungsquote – nur gut ein Drittel zur ursprünglichen Frist – hat die Behörde nun zum Handeln bewogen.

NIS2 betroffene Unternehmen: Fällt Ihr Unternehmen unter die Pflicht?

Viele Geschäftsführer im Mittelstand gehen noch immer davon aus, NIS2 betreffe nur Konzerne oder Betreiber kritischer Infrastrukturen. Das ist ein Irrtum. Registrierungspflichtig sind – vereinfacht – Unternehmen, die in einem der 18 regulierten Sektoren tätig sind und mindestens 50 Mitarbeitende beschäftigen oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme erreichen.

Zu den regulierten Sektoren zählen unter anderem Energie, Transport und Verkehr, das Gesundheitswesen, digitale Infrastruktur, IT-Dienstleister (Managed Services und Managed Security Services), das verarbeitende Gewerbe (etwa Maschinenbau, Medizinprodukte, Elektronik, Fahrzeugbau), die chemische Industrie, Lebensmittelproduktion sowie Post- und Kurierdienste. Gerade im produzierenden Mittelstand fallen dadurch viele Unternehmen unter NIS2, die sich selbst nie als „kritisch" eingeordnet hätten.

Drei typische Fehleinschätzungen

„Wir warten auf einen Bescheid." NIS2 funktioniert nach dem Prinzip der Selbstidentifikation: Es kommt kein Brief vom BSI. Unternehmen müssen ihre Betroffenheit eigenständig prüfen und sich aktiv registrieren.

„Wir sind nur Zulieferer." Auch Zulieferer können direkt reguliert sein – und selbst wer nicht direkt unter NIS2 fällt, bekommt die Anforderungen zunehmend über die Lieferkette vertraglich weitergereicht, weil regulierte Kunden die Sicherheit ihrer Dienstleister nachweisen müssen.

„Die Registrierung reicht doch erst mal." Die Registrierung ist eine von mehreren Pflichten. Risikomanagement, Meldepflichten und Geschäftsleitungsverantwortung gelten unabhängig davon – dazu gleich mehr.

Das BSI stellt für die Betroffenheitsprüfung eine Online-Prüfhilfe bereit, mit der Sie in wenigen Minuten eine erste Einschätzung erhalten.

NIS2 Bußgeld und Haftung: Was bei Untätigkeit droht

Verstöße gegen die NIS2-Pflichten sind Ordnungswidrigkeiten. Allein für die unterlassene Registrierung drohen Bußgelder von bis zu 500.000 Euro; bei Verstößen gegen die Risikomanagementpflichten sehen das BSIG und die zugrunde liegende EU-Richtlinie je nach Einrichtungskategorie deutlich höhere Rahmen bis in den Millionenbereich vor. Details dazu in unserem Beitrag zu NIS2-Bußgeldern und Geschäftsführerhaftung.

Hinzu kommt ein Punkt, den Geschäftsführer ernst nehmen sollten: § 38 BSIG verpflichtet die Geschäftsleitung persönlich, die Umsetzung der Risikomanagementmaßnahmen zu billigen und zu überwachen – und an Schulungen teilzunehmen. Eine Delegation „nach unten" an die IT-Abteilung entbindet nicht von dieser Verantwortung. Cybersicherheit ist unter NIS2 formal Chefsache.

So läuft die NIS2-Registrierung beim BSI ab

Die eigentliche Registrierung ist kein Großprojekt – sie ist in wenigen Stunden erledigt, wenn die Informationen vorliegen. Der Ablauf in vier Schritten:

1. Betroffenheit prüfen und dokumentieren: Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme bewerten – auch verbundene Unternehmen können eine Rolle spielen. Dokumentieren Sie das Ergebnis nachvollziehbar, auch wenn Sie zu dem Schluss kommen, nicht betroffen zu sein.
2. Einrichtungskategorie bestimmen: „Besonders wichtige Einrichtung" oder „wichtige Einrichtung" – davon hängen Aufsichtsintensität und Bußgeldrahmen ab.
3. Daten zusammenstellen: Unternehmensdaten, zuständige Ansprechpartner mit Erreichbarkeit, Sektor-Zuordnung, IP-Adressbereiche und betroffene Mitgliedstaaten.
4. Registrierung über das BSI-Portal durchführen: Die Meldung erfolgt elektronisch über die vom BSI bereitgestellte Registrierungsplattform.

Registrierung ist erst der Anfang: Diese Pflichten folgen

Wer sich registriert, hat den formalen Teil erledigt – die inhaltlichen Anforderungen des § 30 BSIG bleiben. Dazu gehören unter anderem Risikoanalysen und Sicherheitskonzepte, Maßnahmen zur Bewältigung von Sicherheitsvorfällen, Backup- und Krisenmanagement, Sicherheit der Lieferkette, Multi-Faktor-Authentifizierung, Verschlüsselung sowie Schulungen – ausdrücklich auch für die Geschäftsleitung.

Besonders anspruchsvoll für KMU sind zwei Punkte. Erstens die Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Erstmeldung und innerhalb von 72 Stunden mit einer Bewertung an das BSI gemeldet werden. Das setzt voraus, dass Vorfälle überhaupt zeitnah erkannt werden – ohne kontinuierliches Monitoring und eingespielte Incident-Response-Prozesse ist diese Frist realistisch kaum zu halten. Zweitens die Detektionsfähigkeit: Angriffe erkennen, bewerten und eindämmen erfordert 24/7-Aufmerksamkeit, die ein mittelständisches IT-Team allein selten leisten kann. Hier setzen Dienste wie Managed Detection & Response an, die Erkennung und Reaktion als Service bereitstellen. Die Wirksamkeit der eigenen Maßnahmen lässt sich zudem regelmäßig durch einen Penetrationstest überprüfen.

Für die organisatorische Seite – Richtlinien, Risikoanalysen, Nachweisführung, Ansprechpartner gegenüber dem BSI – empfiehlt sich für KMU ohne eigene Security-Organisation ein externer Informationssicherheitsbeauftragter (ISB), der die NIS2-Anforderungen strukturiert und dauerhaft betreut.

Checkliste: Das sollten Sie bis zum 31. Juli 2026 erledigen

• Betroffenheitsprüfung mit der BSI-Prüfhilfe durchführen und das Ergebnis dokumentieren
• Bei Betroffenheit: Registrierung über das BSI-Portal abschließen
• Zuständigkeiten benennen: Wer ist Ansprechpartner gegenüber dem BSI, wer meldet Vorfälle?
• Gap-Analyse starten: Wo steht Ihr Unternehmen bei den Maßnahmen nach § 30 BSIG?
• Geschäftsleitung einbinden: Billigung, Überwachung und Schulung sind persönliche Pflichten

Fazit

Die Nachfrist des BSI ist eine letzte Gelegenheit, die NIS2-Registrierung ohne Sanktionsrisiko nachzuholen – mehr aber auch nicht. Wer den 31. Juli 2026 verstreichen lässt, riskiert Bußgelder und rückt bei künftigen Kontrollen in den Fokus. Und wer sich registriert, sollte die verbleibenden Pflichten nicht auf die lange Bank schieben: Meldefähigkeit und Angriffserkennung brauchen Vorlauf.

Wenn Sie unsicher sind, ob Ihr Unternehmen betroffen ist oder wo Sie bei der Umsetzung stehen, sprechen Sie uns gern an – in einem unverbindlichen Erstgespräch ordnen wir Ihre Situation ein und zeigen, welche Schritte jetzt sinnvoll sind.

Nächste Schritte: Mehr zu unserem 24/7-Service auf der MDR-Pillar-Page – persönliches Erstgespräch über /kontakt.