NIS2-Registrierung beim BSI verpasst: Was Unternehmen jetzt tun sollten

Wer die NIS2-Registrierung beim BSI verpasst hat, sollte sie jetzt nachholen: Die gesetzliche Frist nach § 33 BSIG ist abgelaufen, die laut IHK vom BSI genannte Nachfrist endete am 31. Juli 2026. Das BSI-Portal nimmt Registrierungen weiter an. Die Pflichten aus dem BSIG in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) gelten trotzdem seit dem 6. Dezember 2025. Prüfen Sie zuerst die Betroffenheit, holen Sie dann die Registrierung nach und dokumentieren Sie die Verspätung. Audit-Vorbereitung und NIS2-Umsetzung gehören zu unserer IT-Beratung.

Welche Frist galt für die NIS2-Registrierung beim BSI?

§ 33 Abs. 1 BSIG verlangt die Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Unternehmen, die schon beim Inkrafttreten betroffen waren, hätte die Registrierung laut IHK bis zum 6. März 2026 erfolgen müssen. Danach nannte das BSI nach Angaben der IHK den 31. Juli 2026 als spätesten Termin.

Auch dieser Termin ist vorbei. Auf seiner NIS-2-Seite schreibt das BSI: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Betroffene sollen sich „jetzt umgehend im BSI-Portal registrieren“. Eine weitere Verlängerung hat das BSI nicht angekündigt (Stand: 9. Oktober 2026).

Rund ein Drittel fehlt noch

Laut BSI haben sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen registriert. Im Januar 2026 ging das BSI von rund 29.500 betroffenen Unternehmen und Institutionen der Bundesverwaltung aus. Rechnerisch fehlen also noch gut 9.000 Registrierungen. Die nächste Aktualisierung der Zahlen kündigt das BSI für Ende Januar 2027 an. Die hohe Zahl säumiger Einrichtungen schützt nicht vor einem Bußgeld nach § 65 BSIG.

Ist Ihr Unternehmen überhaupt betroffen?

Das klären Sie selbst. Das BSI bietet dafür die NIS-2-Betroffenheitsprüfung an, einen Fragebogen als Orientierung; maßgeblich bleibt § 28 BSIG mit den Anlagen 1 und 2.

1. Sektor. Fällt Ihre Tätigkeit unter Anlage 1 (zum Beispiel Energie, Transport, Gesundheit, digitale Infrastruktur, Weltraum) oder Anlage 2 (zum Beispiel Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe der NACE-Abteilungen C26-C30)? Tätigkeiten, die im Gesamtgeschäft vernachlässigbar sind, bleiben außer Betracht (§ 28 Abs. 3).
2. Größe. Wichtige Einrichtung ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme; besonders wichtig in Anlage 1 ab 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme.
3. Sonderfälle. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sind unabhängig von der Größe besonders wichtige Einrichtungen.
4. Konzern. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihre IT von der des Konzerns unabhängig ist (§ 28 Abs. 4). Diese Begründung gehört schriftlich in die Akte.

Für Finanzunternehmen unter DORA und für Energie- und Telekommunikationsunternehmen ersetzt Sektorrecht einen Teil der BSIG-Pflichten (§ 28 Abs. 5 und 6). Die Registrierung beim BSI betrifft sie trotzdem, denn § 33 steht nicht in der Liste der ausgenommenen Vorschriften.

Welches Bußgeld droht bei fehlender Registrierung?

Ordnungswidrig handelt nach § 65 Abs. 2 Nr. 6 BSIG, wer vorsätzlich oder fahrlässig entgegen § 33 Abs. 1 eine Angabe „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig“ übermittelt. Der Bußgeldrahmen dafür liegt bei bis zu 500.000 Euro (§ 65 Abs. 5 Nr. 5).

Hinzu kommt: Das BSI kann eine Einrichtung, die sich nicht registriert, selbst registrieren (§ 33 Abs. 3). Dann erfährt die Behörde von Ihnen aus einem anderen Anlass, etwa einem Vorfall oder einem Hinweis, und nicht aus Ihrer eigenen Meldung. Je früher Sie sich nachträglich registrieren, desto besser lässt sich das Versäumnis erklären.

Wie holen Sie die NIS2-Registrierung beim BSI nach?

Das Verfahren ist zweistufig und dauert wegen des Postversands mindestens eine Woche. Das BSI beschreibt ihn in seiner Anleitung zur Registrierung.

1. Mein Unternehmenskonto (MUK) anlegen. MUK basiert auf ELSTER-Organisationszertifikaten und setzt eine deutsche Steuernummer voraus. Der Aktivierungscode kommt per Post, in der Regel nach mindestens fünf Werktagen. Laut BSI-Pressemitteilung braucht jede NIS-2-relevante Einrichtung ein eigenes MUK-Profil.
2. Ohne deutsche Steuernummer geht es nicht: Ausländische Unternehmen klären diesen Schritt zuerst, die FAQ zum BSI-Portal beschreibt die Voraussetzungen.
3. Im BSI-Portal anmelden: „Mit MUK anmelden“, dann „Zur NIS-2-Registrierung“.
4. Angaben machen: Einstufung nach NIS-2, Sektor, KRITIS-Status, EU-Mitgliedstaaten, in denen Sie Dienste erbringen, eine Kontaktstelle, mindestens eine Kontaktperson und Ihre öffentlichen statischen IP-Bereiche (oder die Erklärung, dass es keine gibt).
5. „Registrierung abschließen“ und die Bestätigung in Ihre Compliance-Akte legen.

Änderungen melden Sie danach unverzüglich, spätestens innerhalb von zwei Wochen (§ 33 Abs. 5). Kommt es vor der Registrierung zu einem erheblichen Sicherheitsvorfall, melden Sie ihn dem BSI über ein Online-Formular.

Was sollten Sie zur Betroffenheit und zur Verspätung dokumentieren?

Das Gesetz schreibt keinen Vermerk zur Betroffenheitsprüfung vor. Die Geschäftsleitung muss aber nach § 38 Abs. 1 BSIG die Risikomanagementmaßnahmen umsetzen und überwachen, und die Maßnahmen sind nach § 30 Abs. 1 zu dokumentieren. Wir empfehlen deshalb einen Vermerk von ein bis zwei Seiten, den die Geschäftsleitung abzeichnet.

• Datum der Prüfung und wer sie durchgeführt hat;
• tatsächliche Tätigkeit und passende Einordnung nach Anlage 1 oder 2, mit NACE-Codes;
• Beschäftigte, Umsatz und Bilanzsumme aus dem letzten Jahresabschluss, mit oder ohne verbundene Unternehmen und Begründung nach § 28 Abs. 4;
• Ergebnis: besonders wichtig, wichtig oder nicht betroffen, und der Termin der nächsten Prüfung;
• Datum der Registrierung, Bestätigung aus dem BSI-Portal und eine sachliche Begründung der Verspätung;
• die seitdem eingeleiteten Schritte zu §§ 30, 32 und 38 BSIG.

Schreiben Sie den Grund der Verspätung nüchtern auf, zum Beispiel eine Umstrukturierung, ein neues Geschäftsfeld oder eine falsche erste Einschätzung der Schwellenwerte. Ein ehrlicher, datierter Vermerk mit Maßnahmenplan wirkt in einem Bußgeldverfahren besser als gar keine Dokumentation.

Die Pflichten gelten auch ohne Registrierung

Die Registrierung begründet die Pflichten nicht, sie macht Sie nur für das BSI sichtbar. Das neue BSIG gilt seit dem 6. Dezember 2025 ohne Übergangsfrist: Risikomanagementmaßnahmen nach § 30, Meldungen erheblicher Sicherheitsvorfälle nach § 32 (Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat) und die Verantwortung der Geschäftsleitung nach § 38, einschließlich regelmäßiger Schulungen.

Wie Sie diese Pflichten in 26 Wochen umsetzen, beschreibt unser NIS2-Umsetzungsplan nach dem neuen BSIG. Den europäischen Hintergrund finden Sie im Artikel zur NIS2-Richtlinie und ihren Folgen für Unternehmen. Wer schon ein ISMS betreibt, sieht im Beitrag zu ISO/IEC 27001, was sich übernehmen lässt.

Wie eine Prüfung des Ist-Zustands abläuft, erklären wir im Artikel zum IT-Audit. Haben Sie auch Standorte in Polen, gilt dort das polnische KSC-Gesetz mit einem eigenen Register; dessen Frist für die Selbstregistrierung endete am 3. Oktober 2026.

Ihr Plan für die nächsten zwei Wochen

1. Tag 1: MUK beantragen, denn der Aktivierungsbrief braucht mindestens fünf Werktage.
2. Tag 1-3: parallel Betroffenheitsprüfung, Abgleich mit § 28 BSIG und Entscheidung der Geschäftsleitung.
3. Tag 4-6: Angaben sammeln, insbesondere IP-Bereiche und Kontaktpersonen.
4. Tag 7-10: Registrierung im BSI-Portal abschließen und Bestätigung ablegen.
5. Tag 11-14: Vermerk abzeichnen lassen, verantwortliche Person benennen, Zeitplan für §§ 30, 32 und 38 festlegen.

Wenn Sie die Betroffenheit mit jemandem durchgehen möchten, der das BSIG und Ihre Branche kennt, finden Sie unser Angebot auf der Seite Compliance und Audit und zur NIS2-Umsetzung, oder Sie schreiben uns. Sind Sie nicht betroffen, sagen wir Ihnen das direkt.