NIS2-Registrierung: Nachfrist vorbei – das gilt jetzt

Stand: 31. August 2026

Kurzantwort: Seit dem 31. Juli 2026 ist die Kulanzphase vorbei: Die vom BSI eingeräumte Nachfrist zur NIS2-Registrierung – nach der ursprünglichen Frist vom 6. März 2026 – ist abgelaufen. Wer als betroffene Einrichtung noch nicht registriert ist, sollte das umgehend nachholen: Eine verspätete Registrierung kann mit bis zu 500.000 Euro Bußgeld geahndet werden – eine fortgesetzte Nichtregistrierung wiegt schwerer.

NIS2-Registrierung: Die Nachfrist ist abgelaufen – was für Ihr Unternehmen jetzt gilt

Wer noch nicht registriert ist, bewegt sich erstmals ohne Netz: Verspätete Registrierung kann mit Bußgeldern von bis zu 500.000 Euro geahndet werden (Der Windows Papst, 29.08.2026). Gleichzeitig sorgte das Bundesinnenministerium Mitte August für eine bemerkenswerte Klarstellung zur vermeintlichen „Registrierungslücke“ – und am KRITIS-Dachgesetz wurde still eine Frist ersatzlos gestrichen (Born IT-Blog, 24.08.2026). Dieser Beitrag fasst zusammen, was in den letzten Tagen passiert ist, wer jetzt handeln muss und wie die NIS2-Umsetzung in Deutschland für KMU pragmatisch gelingt.

Was zuletzt passiert ist: Fristende, Zahlen, Gesetzesänderung

Die Nachfrist ist abgelaufen – die Registrierungspflicht bleibt

Wichtig zu verstehen: Mit dem Fristablauf verschwindet die Pflicht nicht – sie wird nur teurer. Die Registrierung beim BSI (über das ELSTER-Organisationszertifikat) bleibt für alle betroffenen Einrichtungen verpflichtend. Wer sie versäumt hat, sollte sie umgehend nachholen: Eine späte Registrierung ist in jedem Fall besser als eine fortgesetzte Pflichtverletzung, und die Bußgeldpraxis dürfte Kooperationsbereitschaft berücksichtigen (Der Windows Papst).

Die Zahlen: Wie viele Unternehmen sind registriert?

Bis März 2026 hatten sich nur rund 11.500 der ursprünglich auf etwa 29.500 geschätzten betroffenen Einrichtungen registriert – Anlass für die Nachfrist. Am 11. August 2026 erklärte das Bundesinnenministerium, dass bis zum 1. Juli bereits 19.058 Registrierungen vorlagen und die alte Schätzung von rund 29.850 betroffenen Unternehmen auf Datenmaterial von 2019–2022 beruhe (Born IT-Blog). Übersetzt: Die Behörden sehen keine dramatische Lücke mehr – aber nach wie vor fehlen Tausende Einrichtungen. Wer dazugehört, fällt zunehmend auf. Mehr zu den versäumten Registrierungen in unserem Beitrag NIS2-Registrierung verpasst? Das ist jetzt zu tun.

Am Rande: kuriose Änderung am KRITIS-Dachgesetz

Fast unbemerkt wurde im Bundesgesetzblatt Nr. 221 vom 28. Juli 2026 die Registrierungsfrist des KRITIS-Dachgesetzes beim BBK (ursprünglich 17. Juli 2026) ersatzlos gestrichen; die BBK-Mustervorlagen für Resilienzpläne verschieben sich voraussichtlich auf Mitte 2027 (Born IT-Blog). Für die NIS2-Pflichten nach BSIG ändert das nichts – es zeigt aber, wie unübersichtlich die Regulierungslandschaft geworden ist. Umso wichtiger ist ein Ansprechpartner, der den Überblick behält. Hintergrund: KRITIS-Dachgesetz – was KMU wissen müssen.

Bin ich betroffen? Die Kurzprüfung

NIS2 erfasst „besonders wichtige“ und „wichtige“ Einrichtungen aus 18 Sektoren – von Energie, Gesundheit und Transport über verarbeitendes Gewerbe bis zu digitalen Diensten. Als Faustregel gilt: Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz in einem der regulierten Sektoren sollten ihre Betroffenheit prüfen – ebenso kleinere Unternehmen in Sonderfällen (z. B. Vertrauensdienste, bestimmte digitale Infrastrukturen) und Zulieferer regulierter Kunden, die Anforderungen vertraglich weitergereicht bekommen. Das BSI stellt dafür eine Betroffenheitsprüfung bereit.

NIS2-Pflichten und Bußgelder im Überblick

Diese Pflichten gelten jetzt

Mit der Registrierung ist es nicht getan. Die zentralen Pflichten nach dem BSIG (Der Windows Papst):

• Registrierung beim BSI – falls noch nicht geschehen: jetzt.
• Meldepflichten: erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden (Erstmeldung) bis 72 Stunden (Bewertung) an das BSI melden.
• Risikomanagement: Umsetzung der zehn Maßnahmenbereiche nach § 30 BSIG – u. a. Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit, Verschlüsselung, MFA und Schulungen.
• Geschäftsleitungspflichten: Die Geschäftsführung muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und eigene Schulungen nachweisen – bei Verstößen droht persönliche Haftung.

Diese Bußgelder drohen

Für besonders wichtige Einrichtungen sind Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes möglich, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 %. Die versäumte oder verspätete Registrierung allein kann bis zu 500.000 Euro kosten (Der Windows Papst).

NIS2-Umsetzung pragmatisch: der Fahrplan für KMU

Die gute Nachricht: NIS2 verlangt kein Großkonzern-Sicherheitsprogramm, sondern dem Risiko angemessene Maßnahmen. Ein realistischer Fahrplan in vier Schritten:

1. Betroffenheit klären und registrieren. Sektor- und Größenprüfung dokumentieren; bei Betroffenheit sofort beim BSI registrieren. Auch das dokumentierte Ergebnis „nicht betroffen“ ist wertvoll, wenn Kunden oder Versicherer nachfragen.
2. Gap-Analyse gegen § 30 BSIG. Bestandsaufnahme: Welche der zehn Maßnahmenbereiche sind abgedeckt, wo klaffen Lücken? Ein externer Informationssicherheitsbeauftragter (ISB) bringt hier Methodik und Prüfererfahrung mit, ohne dass eine Vollzeitstelle nötig wird. Externer ISB von Valyros.
3. Erkennungs- und Meldefähigkeit herstellen. Die 24-Stunden-Meldefrist ist ohne kontinuierliche Angriffserkennung kaum einzuhalten – wer einen Vorfall erst nach Tagen bemerkt, kann ihn nicht fristgerecht melden. Ein 24/7-Monitoring per Managed Detection & Response deckt gleich mehrere §-30-Bereiche ab (Angriffserkennung, Incident-Handling). MDR für NIS2-regulierte Unternehmen.
4. Wirksamkeit nachweisen. NIS2 verlangt nicht nur Maßnahmen, sondern deren Bewertung. Regelmäßige Penetrationstests liefern den belastbaren Nachweis, dass die umgesetzten Kontrollen tatsächlich wirken – und der Geschäftsführung die Dokumentation für ihre Überwachungspflicht. Penetrationstest als NIS2-Nachweis.

Wichtig für die Priorisierung: Aufsicht und Bußgeld sind das kleinere Risiko. Das größere ist der reale Vorfall – die Ransomware-Statistik des Sommers (Rekordwert von 894 Angriffen allein im Juli, Europa mit 29 % Anteil) zeigt, dass die von NIS2 geforderten Maßnahmen keine Bürokratie sind, sondern das Minimum dessen, was die Bedrohungslage verlangt (NCC Group, 26.08.2026). Mehr dazu: KI-Ransomware: Rekord-Juli 2026.

Fazit: Registrieren, prüfen, umsetzen – in dieser Reihenfolge

Die Nachfrist ist Geschichte, die Pflichten nicht. Wer noch nicht registriert ist, sollte das diese Woche erledigen und die Gap-Analyse gegen § 30 BSIG anstoßen. Wenn Sie unsicher sind, ob Ihr Unternehmen betroffen ist oder wo Sie bei der Umsetzung stehen: Wir prüfen das mit Ihnen in einem kurzen, unverbindlichen Gespräch – inklusive einer ehrlichen Einschätzung, welche Maßnahmen bei Ihnen wirklich Priorität haben. NIS2-Ersteinschätzung anfragen.

Quellen: Der Windows Papst – NIS2 in Deutschland, die Nachfrist ist abgelaufen (29.08.2026); Born IT-Blog – Doch keine NIS2-Registrierungslücke; kuriose Änderung am KRITIS-Dachgesetz (24.08.2026); BSI – NIS-2-regulierte Unternehmen (Betroffenheitsprüfung & Registrierung); NCC Group – Monthly Threat Pulse, Review of July 2026 (26.08.2026).