Wo die NIS2-Registrierung im November 2026 steht
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Kern ist das neu gefasste BSI-Gesetz (BSIG). Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren.
| Datum | Was geschah |
|---|---|
| 6. Dezember 2025 | Das Gesetz tritt in Kraft. Melde- und Risikomanagementpflichten gelten ab diesem Tag, eine allgemeine Übergangsfrist gibt es nicht. |
| 6. Januar 2026 | Das BSI schaltet das BSI-Portal für die Registrierung frei. |
| 6. März 2026 | Die gesetzliche Dreimonatsfrist endet für alle Einrichtungen, die seit Inkrafttreten betroffen sind. Laut Fachpresse waren bis dahin rund 11.500 registriert. |
| 31. Juli 2026 | Ende der Nachfrist, die das BSI laut Fachpresse in einem Schreiben an Branchenverbände genannt hatte. Eine gesetzliche Verlängerung war das nicht. |
| 30. September 2026 | Rund 20.000 Einrichtungen sind registriert. Das BSI rechnet mit knapp 30.000. |
| Oktober 2026 | Das BSI kündigt laut Fachpresse für das vierte Quartal eine Durchsetzungsinitiative gegenüber Einrichtungen an, die sich erkennbar hätten registrieren müssen. |
Rund ein Drittel der betroffenen Unternehmen fehlt also noch. Viele haben ihre Betroffenheit nie geprüft oder gehen davon aus, dass NIS2 nur Betreiber kritischer Infrastrukturen betrifft. Das ist ein Irrtum: Auch ein Maschinenbauer mit 60 Beschäftigten kann eine wichtige Einrichtung sein.
Schritt 1: Betroffenheit prüfen und dokumentieren
Betroffen sind Unternehmen, die einer Einrichtungsart aus den Anlagen 1 oder 2 des BSIG zuzuordnen sind und bestimmte Größen erreichen (§ 28 BSIG). Anlage 1 umfasst Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, das verarbeitende Gewerbe mit Maschinenbau, Elektrotechnik, Fahrzeugbau und Medizinprodukten, Anbieter digitaler Dienste und Forschung.
| Einstufung | Größe, vereinfacht |
|---|---|
| Besonders wichtige Einrichtung | Einrichtungsart aus Anlage 1 und mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme. Dazu einige Einrichtungsarten mit eigenen Regeln, etwa Betreiber kritischer Anlagen, DNS-Diensteanbieter oder qualifizierte Vertrauensdiensteanbieter. |
| Wichtige Einrichtung | Einrichtungsart aus Anlage 1 oder 2 und mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. |
Zwei Details führen oft zu falschen Ergebnissen. Erstens zählen bei der Größe nach der KMU-Empfehlung der EU auch Partner- und verbundene Unternehmen mit, es sei denn, das Unternehmen ist bei seinen IT-Systemen und Prozessen tatsächlich unabhängig von ihnen (§ 28 Absatz 4 BSIG). Zweitens können Geschäftstätigkeiten außer Betracht bleiben, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind (§ 28 Absatz 3 BSIG).
Die kostenlose Betroffenheitsprüfung des BSI gibt eine erste Einschätzung. Sie ist nicht verbindlich, und das BSI teilt die Betroffenheit auch nicht verbindlich mit. Halten Sie das Ergebnis schriftlich fest: Datum, Einstufung, Begründung und verwendete Zahlen. Bei Grenzfällen lohnt eine juristische Prüfung. Wichtig für wachsende Unternehmen: Die Dreimonatsfrist gilt nicht nur für den Stichtag 2025. Wer durch Wachstum oder eine neue Geschäftstätigkeit erstmals oder erneut unter das Gesetz fällt, muss sich innerhalb von drei Monaten danach registrieren.
Schritt 2: Registrierung im BSI-Portal nachholen
Die Registrierung läuft in zwei Stufen, und die erste braucht Vorlauf:
- ELSTER-Organisationszertifikat für Mein Unternehmenskonto beantragen. Voraussetzung ist eine deutsche Steuernummer. Der Aktivierungscode kommt per Brief an die Adresse, die zu dieser Steuernummer hinterlegt ist. Rechnen Sie mit etwa zwei Wochen und klären Sie, wer den Brief im Haus bekommt. Viele Unternehmen haben bereits ein solches Zertifikat für Steuererklärungen, dann geht es nur darum, wer es verwaltet.
- Im BSI-Portal anmelden und registrieren. Das BSI stellt dort eine Anleitung bereit. Telefonischen Support gibt es nicht, Fragen gehen per E-Mail an den Portal-Support.
Nach § 33 Absatz 1 BSIG brauchen Sie diese Angaben:
- Name der Einrichtung mit Rechtsform und, falls vorhanden, Handelsregisternummer
- Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, Telefonnummern und öffentlicher IP-Adressbereiche
- Sektor und gegebenenfalls Branche nach Anlage 1 oder 2
- die EU-Mitgliedstaaten, in denen Sie Dienste dieser Art erbringen
- die zuständigen Aufsichtsbehörden des Bundes und der Länder
Die öffentlichen IP-Adressbereiche überraschen viele. Ihre IT oder Ihr Provider kann sie aus den Verträgen für Internetanschlüsse und Rechenzentrum zusammenstellen. Ändern sich Angaben später, müssen Sie das unverzüglich melden, spätestens zwei Wochen nachdem Sie davon erfahren haben (§ 33 Absatz 5 BSIG). Legen Sie fest, wer dafür zuständig ist. Für bestimmte digitale Anbieter, etwa Cloud-, Rechenzentrums- und Managed-Service-Provider, gilt zusätzlich eine besondere Registrierungspflicht nach § 34 BSIG.
Was bei verspäteter Registrierung droht
Die Registrierungspflicht entfällt mit dem Fristablauf nicht. Das BSI kann eine Einrichtung, die sich nicht registriert, im Einvernehmen mit den Aufsichtsbehörden selbst registrieren und bei begründetem Verdacht Unterlagen und Auskünfte verlangen (§ 33 Absatz 3 und 4 BSIG). Wer Angaben nicht oder nicht rechtzeitig übermittelt, handelt ordnungswidrig. Nach § 65 BSIG sind dafür Bußgelder bis 500.000 Euro möglich.
Deutlich höher liegen die Bußgelder für die eigentlichen Pflichten: Wer die Risikomanagementmaßnahmen nach § 30 BSIG nicht ergreift oder nicht dokumentiert oder erhebliche Vorfälle nicht rechtzeitig meldet, riskiert bei besonders wichtigen Einrichtungen bis 10 Millionen Euro, bei wichtigen Einrichtungen bis 7 Millionen Euro. Bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro steigt die Grenze auf 2 beziehungsweise 1,4 Prozent dieses Umsatzes.
Wie das BSI mit Nachzüglern umgeht, hat es im Oktober 2026 skizziert: Laut Fachpresse spricht es ab dem vierten Quartal Einrichtungen an, die sich erkennbar hätten registrieren müssen. Das Verfahren beginnt mit einer Anhörung, ein Bußgeld kommt also nicht sofort, ist am Ende aber möglich. Der beste Schutz ist deshalb, jetzt zu registrieren, die Gründe für die Verspätung und die eingeleiteten Schritte intern zu dokumentieren und die übrigen Pflichten erkennbar anzugehen.
Rechtsstand November 2026: BSIG vom 2. Dezember 2025, zuletzt geändert durch Gesetz vom 22. Oktober 2026. Die Europäische Kommission hat am 20. Januar 2026 gezielte Änderungen der NIS2-Richtlinie vorgeschlagen, im Digital-Omnibus außerdem eine zentrale EU-Meldestelle für Vorfälle. Beides ist noch nicht beschlossen und ändert an den deutschen Pflichten derzeit nichts. Dieser Artikel ersetzt keine Rechtsberatung.
Schritt 3: Meldewege für Sicherheitsvorfälle festlegen
Die Meldepflicht nach § 32 BSIG hängt nicht von der Registrierung ab. Registrierte Einrichtungen melden über das BSI-Portal, noch nicht registrierte über ein Online-Formular im Melde- und Informationsportal des BSI. Erhebliche Sicherheitsvorfälle werden in Stufen gemeldet:
| Frist | Meldung | Inhalt |
|---|---|---|
| Unverzüglich, spätestens 24 Stunden nach Kenntnis | Frühe Erstmeldung | Verdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen |
| Unverzüglich, spätestens 72 Stunden nach Kenntnis | Meldung | Bestätigung oder Aktualisierung, erste Bewertung von Schwere und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Auf Ersuchen des BSI | Zwischenmeldung | Relevante Änderungen des Stands |
| Spätestens einen Monat nach der Meldung | Abschlussmeldung, bei laufendem Vorfall Fortschrittsmeldung | Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Erheblich ist ein Vorfall nach § 2 BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere erheblich schädigt. Für die meisten Sektoren gilt ein Vorfall nach Auffassung des BSI als erheblich, wenn er mindestens ein Kriterium aus Artikel 3 Absatz 1 der Durchführungsverordnung (EU) 2024/2690 erfüllt. Damit die Meldung auch am Wochenende klappt, brauchen Sie eine klare Zuständigkeit mit Vertretung, Kriterien für die Einstufung, vorbereitete Textbausteine und einen geübten Ablauf. Wie Sie das aufbauen, zeigt unser Artikel Incident-Response-Plan. Details nennt das BSI im Infopaket zur NIS-2-Meldepflicht.
Schritt 4: Risikomanagement und Geschäftsleitung einbinden
Die Registrierung ist der kleinste Teil der Pflichten. § 30 BSIG verlangt zehn Mindestmaßnahmen, von der Risikoanalyse über Backups und Lieferkette bis zur Mehrfaktor-Anmeldung, und ihre Dokumentation. Welche das sind und welche Nachweise sich bewährt haben, erklärt der Artikel NIS2-Risikomanagement nach § 30 BSIG. Mit diesen technischen Punkten können Sie sofort beginnen:
- Mehrfaktor-Anmeldung für E-Mail, Fernzugriff und Administratoren, siehe MFA im Unternehmen einführen
- getrennte Netze für Büro, Server, Produktion, Gäste und Geräte wie Kameras, mit Regeln an der Firewall
- Backups, von denen mindestens eine Kopie nicht verändert werden kann, mit regelmäßig getesteter Wiederherstellung
- Updates von Firewalls, Switches, Access Points und Servern nach festem Plan
- zentral gesammelte Protokolle, damit sich ein Vorfall nachvollziehen lässt
- eine Liste der Dienstleister mit Zugriff auf Ihre Systeme und vertraglich festgehaltene Anforderungen
Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Diese Verantwortung lässt sich nicht an die IT oder an Dienstleister abgeben. Was das konkret bedeutet und wie die Haftung geregelt ist, lesen Sie in NIS2 und die Geschäftsleitung.
Wie Unite2Link unterstützt
Die rechtliche Bewertung der Betroffenheit gehört zu Juristinnen und Juristen. Wir übernehmen die technische Seite: Bestandsaufnahme von Netzwerk, Firewall, Fernzugriff und Backups, Abgleich mit den Mindestmaßnahmen, Netztrennung, MFA, Protokollierung, Penetrationstests und die Dokumentation, die Sie später als Nachweis brauchen. Auf Wunsch stellen wir auch die technischen Angaben für die Registrierung zusammen, etwa die öffentlichen IP-Adressbereiche. Wir arbeiten bei Ihnen vor Ort und online, das Erstgespräch dauert 60 Minuten. Mehr auf der Seite Cybersicherheit.