Von den rund 29.500 Unternehmen, die in Deutschland unter die NIS2-Regulierung fallen, hatten sich Ende Mai gerade einmal 18.500 beim BSI registriert. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat daraufhin eine Nachfrist bis Ende Juli gesetzt. Spätestens am 31. Juli 2026 muss die Registrierung im BSI-Portal also abgeschlossen sein. Wer diesen Termin verpasst, riskiert ein Bußgeld von bis zu 500.000 Euro (§ 65 BSIG).
Was hinter der Frist steckt
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Ursprünglich sollte die Registrierung bereits bis März 2026 erfolgen, doch angesichts der schleppenden Anmeldezahlen hat das BSI die Frist zweimal verlängert. Die aktuelle Nachfrist bis Ende Juli dürfte die letzte sein, bevor die Aufsichtsbehörde ernst macht. Die Registrierung selbst ist dabei nur der erste, formale Schritt. Wer sich registriert, bestätigt damit gegenüber dem BSI, dass er den gesetzlichen Pflichten unterliegt und die inhaltlichen Anforderungen erfüllt.
Wer betroffen ist
NIS2 erfasst mittlere und große Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren, darunter Energie, Verkehr, Gesundheitswesen, Trinkwasser- und Abwasserwirtschaft, digitale Infrastruktur, IT-Dienstleistungen, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe sowie Post- und Kurierdienste (siehe die Sektorenliste des BSI). Für einige Unternehmenstypen gilt die Pflicht unabhängig von der Größe, etwa für DNS- und Domain-Registrierungsstellen, Telekommunikationsanbieter und Vertrauensdiensteanbieter, die beispielsweise digitale Zertifikate ausstellen.
Gerade in der Kategorie der mittelständischen Zulieferer und IT-Dienstleister herrscht häufig Unsicherheit, ob man überhaupt betroffen ist. Wer als Auftragnehmer für ein NIS2-reguliertes Unternehmen tätig ist, sollte die eigene Einstufung ebenfalls prüfen. Nicht selten wird die Anforderung über die Lieferkette weitergereicht, auch wenn das eigene Unternehmen die Schwellenwerte formal nicht erreicht.
Ob Ihr Unternehmen betroffen ist können Sie direkt auf der Website des BSI durch eine Betroffenheitsprüfung testen.
Was das bedeutet
Betroffene Unternehmen müssen zusätzlich Risikomanagementmaßnahmen in zehn vorgegebenen Bereichen umsetzen (§ 30 BSIG). Die Bereiche reichen von Zugriffskontrolle über Verschlüsselung bis hin zu Lieferkettensicherheit und Notfallmanagement. Hinzu kommt eine gestaffelte Meldepflicht bei erheblichen Sicherheitsvorfällen (§ 32 BSIG):
- Frühwarnung: binnen 24 Stunden
- Detaillierter Bericht: binnen 72 Stunden
- Abschlussbericht: spätestens nach einem Monat
Wer diese Prozesse nicht schon vorbereitet hat, kommt in der Praxis kaum in der verbleibenden Zeit dazu, sie sauber aufzubauen. Genau hier zeigt sich, warum die Registrierungsfrist mehr ist als reine Formalie: Sie markiert den Startschuss, ab dem Unternehmen im Ernstfall nachweisen müssen, dass sie handlungsfähig sind.
Anders als das Bußgeld für die verpasste Registrierung selbst drohen bei Verstößen gegen diese materiellen Pflichten deutlich höhere Bußgelder (§ 65 BSIG).
Was Unternehmen jetzt tun sollten
- Betroffenheitsprüfung durchführen (auch mit Blick auf die Lieferketten-Klausel, insbesondere als Auftragnehmer NIS2-regulierter Kunden)
- Registrierung im BSI-Portal abschließen, sobald die Betroffenheit feststeht (mit vergleichsweise geringem Aufwand möglich)
- Gap-Analyse der zehn Risikomanagementbereiche (BSI: NIS-2-Risikomanagementmaßnahmen) durchführen (u. a. Angriffserkennung in Echtzeit, dokumentierte Meldeprozesse (BSI: NIS-2-Meldepflicht) und Absicherung der eigenen Lieferkette)
- Kontinuierliche Überwachung (Monitoring/Alerting) aufbauen (ohne belastbare Detektion lässt sich die 24-Stunden-Meldefrist im Ernstfall kaum einhalten)
Fazit
Die Registrierungsfrist zum 31. Juli ist ein guter Anlass, NIS2 nicht länger als abstrakte Compliance-Übung zu behandeln, sondern als das, was es ist: eine konkrete Frist mit konkreten Bußgeldern und eine Blaupause für belastbare Sicherheitsprozesse. DigiFors unterstützt Unternehmen vor allem dann, wenn es ernst wird: mit Incident Response und forensischer Aufklärung im Fall eines Sicherheitsvorfalls, damit die gesetzlichen Meldefristen von 24 Stunden, 72 Stunden und einem Monat eingehalten werden können. Ergänzend begleiten wir beim Aufbau einer kontinuierlichen Überwachung und bei Penetrationstests zur Überprüfung der eigenen Angriffsfläche. Wer jetzt handelt, vermeidet nicht nur das Bußgeld, sondern gewinnt auch die Zeit, die geforderten Maßnahmen ohne Zeitdruck sauber umzusetzen.
Bereit für den Ernstfall?
DigiFors unterstützt Sie mit Pentests, SOC, Incident Response und forensischer Aufklärung.
