NIS2-Registrierungsfrist Juli 2026: Pflichten nach Ablauf

Stand: 10. August 2026

Der 31. Juli 2026 ist verstrichen – und mit ihm die Nachfrist, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) betroffenen Unternehmen für die NIS2-Registrierung gesetzt hatte. Die Bilanz ist ernüchternd: Von rund 29.500 Unternehmen und Einrichtungen, die unter die NIS2-Regulierung fallen, hatten sich bis zum Sommer nur etwa 11.500 registriert – rund ein Drittel.

Das bedeutet: Zehntausende deutsche Unternehmen sind Stand heute formal säumig – viele davon, ohne es zu wissen. Dieser Beitrag klärt, wer betroffen ist, was das Fristversäumnis bedeutet und warum die Registrierung ohnehin nur der kleinste Teil der NIS2-Pflichten ist.

Kurz zur Einordnung: NIS2 gilt in Deutschland – seit Dezember 2025

Nach langem Gesetzgebungsverfahren ist die europäische NIS2-Richtlinie über das deutsche NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 geltendes Recht. Damit gelten für deutlich mehr Unternehmen als früher verbindliche Anforderungen an Cybersicherheit, Risikomanagement und Meldewesen – nicht mehr nur für klassische KRITIS-Betreiber.

Eine der ersten konkreten Pflichten: die Selbstregistrierung beim BSI. Nachdem sich bis zum ursprünglichen Stichtag im Frühjahr nur ein Bruchteil der Betroffenen gemeldet hatte, setzte das BSI eine Nachfrist bis zum 31. Juli 2026. Diese Frist ist nun abgelaufen.

Wer ist betroffen? Die unterschätzte Reichweite von NIS2

Viele Geschäftsführer gehen davon aus, NIS2 betreffe nur Energieversorger, Banken oder große Konzerne. Das ist ein Irrtum. Die Regulierung erfasst „wesentliche“ und „wichtige“ Einrichtungen in 18 Sektoren – darunter das verarbeitende Gewerbe, Logistik, Entsorgung, digitale Dienste, Lebensmittelproduktion und das Gesundheitswesen. Als Faustregel gilt: Wer in einem regulierten Sektor tätig ist und mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz hat, sollte seine Betroffenheit ernsthaft prüfen.

Genau hier liegt die Ursache der Registrierungslücke: NIS2 kennt keine behördliche Einzelfeststellung per Bescheid. Unternehmen müssen selbst prüfen, ob sie betroffen sind – und sich selbst registrieren. Wer die Prüfung nie durchgeführt hat, ist deshalb nicht aus dem Schneider, sondern schlicht säumig.

Sonderfall Gesundheitswesen und Kanzleien

Für Arztpraxen, MVZ, Labore und Pflegeeinrichtungen lohnt der genaue Blick: Das Gesundheitswesen ist NIS2-Sektor, und auch Zulieferer und Dienstleister regulierter Einrichtungen geraten über Lieferkettenanforderungen in den Pflichtenkreis. Kanzleien sind zwar meist nicht direkt reguliert, betreuen aber regulierte Mandanten – und werden von diesen zunehmend nach ihrer eigenen Informationssicherheit gefragt. Wer hier belastbare Antworten hat, verschafft sich einen handfesten Wettbewerbsvorteil.

Frist verpasst – was droht jetzt konkret?

Zunächst die nüchterne Einordnung: Das Versäumen der Registrierungsfrist ist ein eigenständiger Bußgeldtatbestand. Die NIS2-Richtlinie sieht für wesentliche Einrichtungen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor; bei wichtigen Einrichtungen liegen die Rahmen etwas darunter.

Realistisch ist kurzfristig weniger die Maximalstrafe als vielmehr wachsender Aufsichtsdruck: Das BSI kennt die Zielgröße von rund 29.500 Einrichtungen und wird die Lücke zwischen Soll und Ist nicht dauerhaft hinnehmen. Wer erst durch eine behördliche Nachfrage oder – schlimmer – durch einen meldepflichtigen Sicherheitsvorfall auffällt, startet aus der denkbar schlechtesten Position.

Wichtig dabei: Die Registrierung ist weiterhin möglich und sinnvoll. Eine verspätete Registrierung ist in jedem Fall besser als gar keine – sie dokumentiert, dass das Unternehmen seine Pflichten erkannt hat und ihnen nachkommt.

Die Registrierung ist der Anfang, nicht das Ziel

Wer sich jetzt registriert (oder registriert hat), hat damit erst die formal einfachste NIS2-Pflicht erfüllt. Das Gesetz verlangt darüber hinaus ein funktionierendes Informationssicherheits-Risikomanagement. Dazu gehören unter anderem:

• Risikoanalyse und Sicherheitskonzept: dokumentierte Bewertung der eigenen IT-Risiken und angemessene technische wie organisatorische Maßnahmen.
• Meldewesen: erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstgemeldet werden – das setzt voraus, dass Vorfälle überhaupt zeitnah erkannt werden.
• Business Continuity: Backup-Management, Krisenpläne und Wiederanlaufkonzepte.
• Lieferkettensicherheit: Anforderungen an Dienstleister und Zulieferer.
• Verantwortung der Geschäftsleitung: Die Leitungsebene muss Maßnahmen billigen, überwachen und sich schulen lassen – und haftet bei Verstößen persönlich.

Gerade die 24-Stunden-Meldepflicht hat es in sich: Ohne kontinuierliche Überwachung der eigenen Systeme lässt sich ein erheblicher Vorfall kaum fristgerecht erkennen, geschweige denn qualifiziert melden. Ein 24/7-Monitoring mit Managed Detection & Response ist deshalb für viele Betroffene der praktikabelste Weg, diese Anforderung ohne eigenes Security Operations Center zu erfüllen.

Pragmatischer Fahrplan: In vier Schritten zur NIS2-Konformität

Für Unternehmen, die jetzt handeln wollen, hat sich folgende Reihenfolge bewährt:

1. Betroffenheit prüfen und dokumentieren. Sektor, Mitarbeiterzahl, Umsatz – und das Ergebnis schriftlich festhalten, auch wenn es „nicht betroffen“ lautet.
2. Registrierung beim BSI nachholen. Der Aufwand ist überschaubar; die Wirkung gegenüber der Aufsicht erheblich.
3. Gap-Analyse durchführen. Wo steht die eigene Informationssicherheit im Vergleich zu den NIS2-Anforderungen? Ein strukturierter Soll-Ist-Vergleich priorisiert die Maßnahmen nach Risiko. Ein Penetrationstest liefert dazu den realistischen Blick von außen.
4. Verantwortlichkeit etablieren. NIS2 verlangt gelebtes Sicherheitsmanagement. Wer intern keine Kapazität für einen Informationssicherheitsbeauftragten hat, kann diese Rolle extern besetzen – mit definiertem Stundenkontingent statt neuer Vollzeitstelle. Externer Informationssicherheitsbeauftragter (ISB)

Fazit: Säumig ist ärgerlich – untätig ist riskant

Dass zwei Drittel der betroffenen Unternehmen die NIS2-Registrierung verpasst haben, zeigt vor allem eines: Vielen ist ihre eigene Betroffenheit nicht bewusst. Das schützt allerdings weder vor Bußgeldern noch vor Angreifern. Die gute Nachricht: Wer jetzt strukturiert vorgeht – Betroffenheit prüfen, registrieren, Lücken schließen – bringt sich mit vertretbarem Aufwand auf die sichere Seite und verbessert nebenbei die eigene Widerstandsfähigkeit gegen die sehr realen Angriffe, gegen die NIS2 eigentlich schützen soll.

Wenn Sie unsicher sind, ob Ihr Unternehmen unter NIS2 fällt oder wo Sie bei der Umsetzung stehen: Vereinbaren Sie ein unverbindliches Erstgespräch – wir prüfen das gern gemeinsam mit Ihnen und priorisieren klar statt Maßnahmenkataloge von der Stange zu liefern.

Quellen

• BornCity: Das Problem der NIS-2-Registrierungslücke – Meldung bis 31. Juli 2026 möglich (30.07.2026)
• IHK zu Essen: NIS-2-Registrierungspflicht bis 31. Juli 2026
• Solidaris: BSI setzt neue Frist bis 31. Juli 2026 für NIS-2-Registrierung
• DENIC-Blog: BSI-Registrierung unter NIS-2 – Neue Registrierungsfrist