NIS2-Registrierung verpasst? Das gilt jetzt

Seit dem 30. September 2026 ist die Schonzeit vorbei: An diesem Tag lief die letzte, bereits zweimal verlängerte Frist für die Registrierung wichtiger und besonders wichtiger Einrichtungen beim BSI aus. Ursprünglich endete die Frist am 6. März 2026, wurde dann auf den 31. Juli und schließlich auf den 30. September verschoben (PKF Deutschland). Wer jetzt — Mitte Oktober 2026 — noch nicht registriert ist, obwohl er unter das neue BSIG fällt, ist formal im Verzug.

Für viele Geschäftsführer im Mittelstand stellt sich damit eine unbequeme Doppelfrage: Sind wir überhaupt betroffen? Und wenn ja — was passiert, wenn wir die Frist versäumt haben? Dieser Beitrag beantwortet beide Fragen und zeigt den pragmatischen Weg aus dem Rückstand. Ein Hinweis vorab: Dieser Artikel ist keine Rechtsberatung; im Zweifel sollten Sie Ihre Betroffenheit juristisch prüfen lassen.

Kurz zur Einordnung: NIS2 und das neue BSIG

Die europäische NIS2-Richtlinie wurde in Deutschland durch das NIS2-Umsetzungsgesetz in ein grundlegend reformiertes BSI-Gesetz (BSIG) überführt (Ebner Stolz). Das Gesetz unterscheidet zwei Kategorien:

Besonders wichtige Einrichtungen — unter anderem größere Unternehmen aus Energie, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Trinkwasser und digitaler Infrastruktur sowie alle Betreiber kritischer Anlagen (letztere unabhängig von der Unternehmensgröße).

Wichtige Einrichtungen — unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe (z. B. Maschinenbau, Medizinprodukte, Elektronik), digitale Dienste und Forschung, sofern die Schwellenwerte erreicht werden (in der Regel ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz und -bilanz).

Wichtig bei der Betroffenheitsprüfung: Nach § 28 Abs. 4 BSIG zählt regelmäßig das Unternehmen als wirtschaftliche Einheit — verbundene Unternehmen können also mitgerechnet werden. Eine „kleine" deutsche Tochter eines größeren Konzerns kann dadurch betroffen sein, obwohl sie allein die Schwellen nicht reißt (PKF Deutschland). In Deutschland geht es insgesamt um eine fünfstellige Zahl betroffener Unternehmen — ein Großteil davon klassischer Mittelstand.

Die Pflichten im Überblick — Registrierung ist nur der Anfang

Die Registrierung beim BSI ist die sichtbarste, aber bei weitem nicht die einzige Pflicht. Das BSIG verlangt von betroffenen Einrichtungen im Kern:

Registrierung: Meldung der Einrichtung mit Stammdaten und Zuständigkeiten über das BSI-Portal.

Risikomanagement (§ 30 BSIG): Technische und organisatorische Maßnahmen nach Stand der Technik — darunter Risikoanalysen, Konzepte zur Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung sowie Schulungen.

Meldepflichten: Erhebliche Sicherheitsvorfälle sind dem BSI in einem gestuften Verfahren zu melden — Erstmeldung innerhalb von 24 Stunden, detailliertere Folgemeldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat.

Governance-Pflicht der Geschäftsleitung: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen — und haftet nach § 38 BSIG persönlich, wenn sie diese Pflicht verletzt. Diese Verantwortung lässt sich nicht wegdelegieren.

Frist verpasst — was droht jetzt konkret?

Zunächst die nüchterne Einordnung: Das BSI wird nicht am 1. Oktober flächendeckend Bußgeldbescheide verschickt haben. Aber die Rechtslage ist eindeutig — die unterlassene Registrierung ist bußgeldbewehrt, und mit dem Ablauf der letzten Verlängerung entfällt jedes Argument, man habe auf weitere Kulanz vertrauen dürfen (Orbit). Die Bußgeldrahmen des BSIG reichen je nach Verstoß und Einrichtungskategorie bis in den zweistelligen Millionenbereich bzw. bis zu einem Prozentsatz des weltweiten Umsatzes.

Mindestens so relevant wie das Bußgeldrisiko sind zwei Nebenwirkungen: Erstens die persönliche Haftung der Organe — bei einem Sicherheitsvorfall ohne nachweisbares Risikomanagement wird die Frage „Warum waren Sie nicht einmal registriert?" unangenehm. Zweitens die Außenwirkung: Kunden, Versicherer und Auftraggeber fragen NIS2-Konformität zunehmend in Ausschreibungen und Lieferantenaudits ab.

Die gute Nachricht: Eine Nachregistrierung ist jederzeit möglich — und eine späte Registrierung ist allemal besser als eine unterlassene. Wer jetzt strukturiert nachzieht, dokumentiert guten Willen und reduziert sein Risiko erheblich.

Der pragmatische Fahrplan für Nachzügler

Schritt 1: Betroffenheit sauber prüfen und dokumentieren

Sektor, Einrichtungskategorie, Schwellenwerte, verbundene Unternehmen — das Ergebnis schriftlich festhalten. Auch ein begründetes „nicht betroffen" ist ein wertvolles Dokument, falls das BSI später nachfragt.

Schritt 2: Registrierung unverzüglich nachholen

Die Registrierung über das BSI-Portal ist in wenigen Stunden erledigt, wenn die Stammdaten vorliegen. Sie ist der schnellste Weg, den formalen Verstoß zu beenden.

Schritt 3: Gap-Analyse gegen § 30 BSIG

Welche der geforderten Maßnahmen existieren bereits, welche fehlen? Eine strukturierte Lückenanalyse — idealerweise entlang etablierter Rahmenwerke wie ISO 27001 oder BSI IT-Grundschutz — liefert den priorisierten Maßnahmenplan.

Schritt 4: Melde- und Detektionsfähigkeit herstellen

Eine 24-Stunden-Meldepflicht ist nur erfüllbar, wenn Vorfälle überhaupt binnen Stunden erkannt werden. Ein 24/7-Security-Monitoring (MDR) ist damit faktisch die technische Voraussetzung der NIS2-Meldepflicht — niemand kann melden, was niemand bemerkt.

Mehr dazu: Managed Detection & Response für NIS2-Einrichtungen und Incident Response

Schritt 5: Verantwortung dauerhaft verankern

NIS2-Compliance ist kein Projekt, sondern ein Betriebszustand. Ein externer Informationssicherheitsbeauftragter (ISB) hält Risikoanalysen, Richtlinien, Schulungen und Nachweise aktuell und bereitet die Geschäftsleitung auf ihre Überwachungspflicht vor — zu einem Bruchteil der Kosten einer eigenen Vollzeitstelle.

Mehr dazu: Externer Informationssicherheitsbeauftragter (ISB)

Fazit

Mit dem 30. September 2026 ist NIS2 in Deutschland endgültig im Vollzugsmodus angekommen. Für betroffene Unternehmen, die noch nicht registriert sind, gilt: nicht abwarten, sondern strukturiert nachziehen — Registrierung sofort, Gap-Analyse zeitnah, Detektions- und Meldefähigkeit als erste technische Priorität.

Wenn Sie Ihre Betroffenheit klären oder den Rückstand aufholen möchten: In einem kostenfreien Erstgespräch prüfen wir mit Ihnen Status und Prioritäten — von der Registrierung bis zum laufenden Betrieb der NIS2-Pflichten.

Verwandtes Thema: Darknet Monitoring als dokumentierbarer Baustein für die NIS2-Risikoüberwachung nach § 30 BSIG.

Häufige Fragen

Woher weiß ich, ob mein Unternehmen unter NIS2 fällt?

Maßgeblich sind Sektor (Anlagen 1 und 2 des BSIG) und Größe: in der Regel ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz und Jahresbilanz. Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst, und verbundene Unternehmen können mitzählen. Das BSI stellt eine Betroffenheitsprüfung bereit; bei Grenzfällen empfiehlt sich eine dokumentierte Einzelfallprüfung.

Die Registrierungsfrist ist abgelaufen — soll ich mich jetzt noch registrieren?

Ja, unverzüglich. Die Registrierungspflicht besteht fort; jede weitere Verzögerung erhöht das Bußgeldrisiko. Eine Nachregistrierung beendet den formalen Verstoß und dokumentiert, dass Ihr Unternehmen seine Pflichten ernst nimmt.

Welche Bußgelder drohen bei NIS2-Verstößen?

Das BSIG sieht gestaffelte Bußgeldrahmen vor, die je nach Pflichtverstoß und Kategorie der Einrichtung bis zu 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes reichen können. Hinzu kommt die persönliche Haftung von Geschäftsleitern nach § 38 BSIG bei Verletzung ihrer Überwachungspflicht.

Reicht eine Cyberversicherung oder ein Virenschutz für NIS2 aus?

Nein. § 30 BSIG verlangt ein ganzheitliches Risikomanagement: Risikoanalysen, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Zugriffskontrolle, MFA, Schulungen und mehr. Einzelne Produkte decken das nicht ab — gefordert ist ein nachweisbar gemanagtes Sicherheitsniveau.

Quellen

• PKF Deutschland: NIS-2 und das BSIG – Registrierungsfrist lief am 30. September 2026 aus: https://www.pkf.de/artikel/nis-2-und-das-bsig-registrierungsfrist-laeuft-am-30-september-2026-aus
• Orbit: NIS2-Registrierung beim BSI verpasst – Konsequenzen & To-dos: https://www.orbit.de/blog/nis2-registrierung-beim-bsi-verpasst/
• Ebner Stolz: NIS-2 in Deutschland – das neue BSIG ist in Kraft: https://www.ebnerstolz.de/de/unser-angebot/leistungen/rechtsberatung/it-recht-und-datenschutz/nis-2-deutschland-neues-bsig-in-kraft-104215.html
• BTL Rechtsanwälte: NIS-2 im BSIG – wer verpflichtet ist und was jetzt gilt: https://www.btl-recht.de/blog/nis-2-im-bsig-wer-verpflichtet-ist-und-was-jetzt-gilt/