NIS2: Registrierungsfrist beim BSI abgelaufen

Die verlängerte Frist für die Registrierung beim BSI nach dem NIS2-Umsetzungsgesetz ist am 31. Juli 2026 abgelaufen. Nach Presseberichten im Vorfeld des Fristablaufs waren von geschätzt rund 29.500 betroffenen Unternehmen zu diesem Zeitpunkt erst etwa 11.500 registriert. Wer bisher nicht geprüft hat, ob sein Unternehmen unter das neue BSI-Gesetz fällt, sollte das jetzt nachholen.

NIS2 gilt in Deutschland seit Dezember 2025

Das Gesetz zur Umsetzung der NIS2-Richtlinie (EU) 2022/2555 ist am 6. Dezember 2025 in Kraft getreten. Es hat das BSI-Gesetz neu gefasst und den Kreis der regulierten Unternehmen stark erweitert. Erfasst sind „besonders wichtige“ und „wichtige“ Einrichtungen in zahlreichen Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, Managed Services, Abfallwirtschaft, Lebensmittel, Chemie und verarbeitendes Gewerbe. Maßgeblich sind in der Regel Sektor, Mitarbeiterzahl und Umsatz.

Registrierungspflicht beim BSI

Betroffene Einrichtungen müssen sich selbst beim BSI registrieren. Eine Aufforderung durch die Behörde erfolgt nicht. Die Frist dafür wurde bis zum 31. Juli 2026 verlängert. Eine unterlassene Registrierung ist bußgeldbewehrt. Viele Unternehmen haben ihre Betroffenheit bislang nicht geprüft, insbesondere im Mittelstand und bei Zulieferern, die sich nicht als „kritische Infrastruktur“ verstehen.

Pflichten neben der Registrierung

• Risikomanagementmaßnahmen nach dem Stand der Technik, unter anderem zu Notfallmanagement, Lieferkettensicherheit, Zugriffskontrolle und Verschlüsselung.
• Ein gestuftes Meldeverfahren bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung, Folgemeldung und Abschlussmeldung an das BSI.
• Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung sowie regelmäßige Schulung der Geschäftsleiter. Bei Pflichtverletzungen droht eine persönliche Haftung gegenüber der Gesellschaft.

Was bei verpasster Frist zu tun ist

Eine verspätete Registrierung ist besser als keine. Wir empfehlen folgende Reihenfolge:

1. Betroffenheit dokumentiert prüfen: Sektor, Unternehmensgröße, Konzernzurechnung und Sonderfälle wie DNS-, Cloud- oder Rechenzentrumsdienste.
2. Registrierung unverzüglich nachholen und den Zeitpunkt der Prüfung festhalten.
3. Meldewege für Sicherheitsvorfälle einrichten, abgestimmt mit Datenpannenmeldungen nach Art. 33 DSGVO und, für Hersteller, mit den Meldepflichten nach dem Cyber Resilience Act seit dem 11. September 2026.
4. Geschäftsleitung schulen und die Billigung der Risikomanagementmaßnahmen protokollieren.
5. Verträge mit IT-Dienstleistern um Sicherheits-, Melde- und Auditpflichten ergänzen.

Auch Unternehmen, die selbst nicht unter NIS2 fallen, spüren die Regeln: Regulierte Kunden geben die Anforderungen an die Lieferkette über Verträge und Fragebögen weiter.

Häufige Fragen zur NIS2-Registrierung

Gilt NIS2 auch für kleine Unternehmen?

In der Regel erst ab mittlerer Unternehmensgröße. Für bestimmte Dienste, etwa DNS-Dienste oder Vertrauensdienste, gilt das Gesetz aber größenunabhängig. Zudem werden Mitarbeiter und Umsatz verbundener Unternehmen nach den Regeln der KMU-Empfehlung zugerechnet.

Wer meldet, wenn wir einen Vorfall beim IT-Dienstleister haben?

Die Meldepflicht trifft die regulierte Einrichtung selbst. Der Dienstleister muss sie deshalb vertraglich so schnell informieren, dass die Erstmeldung fristgerecht möglich ist.

Quellen: NIS2-Umsetzungsgesetz, in Kraft seit 6. Dezember 2025; RL (EU) 2022/2555; Presseberichte (boerse-express.com, Sommer 2026) zu Inkrafttreten, Fristverlängerung bis 31. Juli 2026 und Registrierungszahlen. Die Zahlen sind Schätzungen und nicht amtlich bestätigt.

Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten die Umsetzung. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu NIS2, IT-Sicherheit, Cyberangriff und Cybersecurity-SLA.