NIS2-Registrierung beim BSI: Nachfrist bis 31. Juli

Was am 31. Juli 2026 abläuft

Das NIS2UmsuCG hat das BSI-Gesetz vollständig neu gefasst. Seit dem Inkrafttreten am 6. Dezember 2025 gilt: Wer als besonders wichtige oder wichtige Einrichtung eingestuft ist, muss sich spätestens drei Monate nach dem Eintritt der Betroffenheit beim Bundesamt für Sicherheit in der Informationstechnik registrieren (§ 33 Absatz 1 BSIG; BSI, NIS-2-Pflichten). Für Einrichtungen, die am Tag des Inkrafttretens bereits im Anwendungsbereich lagen, endete diese Frist am 6. März 2026. Die Registrierung läuft zweistufig: zuerst über das Nutzerkonto der öffentlichen Verwaltung, anschließend über das BSI-Portal (BSI, Schritt-für-Schritt-Anleitung für die Registrierung im BSI-Portal).

Der Rücklauf blieb deutlich hinter den Erwartungen zurück. Zum gesetzlichen Fristablauf am 6. März 2026 waren rund 11.500 Einrichtungen registriert, bis Ende Mai 2026 stieg die Zahl auf etwa 18.500 (IHK zu Essen, Juli 2026). Das Bundesamt rechnet mit rund 29.500 betroffenen Unternehmen und Bundeseinrichtungen in Deutschland (BSI, Fragen und Antworten zu NIS-2). Es fehlen damit rund 11.000 Einrichtungen, also gut ein Drittel des erwarteten Bestands. Auf diese Lücke hat das BSI mit einer Nachfrist reagiert und nimmt Nachregistrierungen bis zum 31. Juli 2026 entgegen (IHK zu Essen, NIS-2 Registrierungspflicht bis 31. Juli 2026).

Ein zweiter Punkt wird in der Praxis unterschätzt: Das Bundesamt kann eine Einrichtung von Amts wegen registrieren, wenn diese ihrer Pflicht nicht nachkommt (§ 33 BSIG). Die eigentliche Frage lautet also nicht, ob eine betroffene Einrichtung im Register landet, sondern ob sie es zu ihren eigenen Bedingungen tut — mit selbst gepflegten Kontaktdaten, korrekt zugeordneter Einrichtungsart und einer Kontaktstelle, die tatsächlich erreichbar ist. Eine Fremdregistrierung erzeugt zusätzlich ein Erklärungsbedürfnis gegenüber der Aufsicht, das sich mit einer rechtzeitigen Selbstregistrierung vermeiden lässt.

• Registrierung — Übermittlung der Angaben nach § 33 BSIG über das BSI-Portal, Frist bis 31. Juli 2026 im Rahmen der Nachfrist (IHK zu Essen, Juli 2026).
• Aktualisierungspflicht — Änderungen an den übermittelten Angaben sind unverzüglich, spätestens nach zwei Wochen mitzuteilen (BSI, NIS-2-Pflichten). Ein Wechsel der Kontaktperson oder ein neuer IP-Bereich löst diese Pflicht aus.
• Risikomanagement — die technischen und organisatorischen Maßnahmen nach § 30 Absatz 2 BSIG sind umzusetzen und zu dokumentieren, unabhängig davon, ob die Registrierung erfolgt ist.
• Leitungspflichten — Billigung, Überwachung und Schulung nach § 38 BSIG gelten parallel und lassen sich nicht auf einen späteren Zeitpunkt verschieben.

Betroffenheitsprüfung: Sektor plus Schwellenwert

Betroffenheit entsteht aus zwei Bedingungen, die zusammen erfüllt sein müssen. Erstens muss die Einrichtung einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSIG zuzuordnen sein — das reicht von Energie, Verkehr, Finanzwesen, Gesundheit und Wasser über digitale Infrastruktur und IKT-Dienstleistungsmanagement bis zu Post- und Kurierdiensten, Abfallwirtschaft, Chemie, Lebensmitteln, verarbeitendem Gewerbe und Forschung. Zweitens muss eine Größenschwelle nach § 28 BSIG erreicht sein. Die Richtlinie (EU) 2022/2555 unterscheidet in Artikel 3 dieselbe Zweiteilung in wesentliche und wichtige Einrichtungen, die das BSIG als besonders wichtige und wichtige Einrichtungen umsetzt.

Zwei Details entscheiden häufig über die Einstufung. Erstens sind die Kriterien innerhalb einer Kategorie alternativ zu lesen: Es genügt, die Beschäftigtenzahl zu erreichen — die Finanzkennzahlen müssen dann gar nicht mehr geprüft werden. Umgekehrt müssen Jahresumsatz und Jahresbilanzsumme gemeinsam über der Grenze liegen (§ 28 BSIG). Zweitens richtet sich die Berechnung der Unternehmensgröße nach der europäischen KMU-Definition, auf die die Richtlinie (EU) 2022/2555 in Artikel 2 verweist. Verbundene Unternehmen und Partnerunternehmen sind dabei einzubeziehen — eine für sich genommen kleine deutsche Gesellschaft kann über die Konzernzugehörigkeit in den Anwendungsbereich rutschen.

Diese Angaben verlangt das BSI-Portal

Die Registrierung ist kein Formular mit drei Feldern. § 33 Absatz 1 BSIG verlangt einen Datensatz, der die Einrichtung rechtlich, organisatorisch und technisch adressierbar macht. Wer die Angaben erst im Portal zusammensucht, verliert Zeit — insbesondere die technischen Felder brauchen Vorlauf, weil sie in vielen Häusern zwischen IT, Marketing und externem Hosting verteilt liegen (Projekterfahrung).

Domainnamen sind im Pflichtfeldkatalog des § 33 BSIG nicht als eigener Eintrag genannt — praktisch führt der Weg zu den IP-Adressbereichen aber über sie. Ohne eine belastbare Liste aller eigenen Domains und Subdomains lässt sich kaum sauber herleiten, welche öffentlichen Adressbereiche tatsächlich zur Einrichtung gehören. Anbieter von DNS-Diensten, Namenregister der Domänen oberster Stufe und vergleichbare Registry-Dienste sind darüber hinaus größenunabhängig betroffen (§ 28 BSIG) und damit unabhängig von Beschäftigtenzahl und Umsatz registrierungspflichtig.

Der Stolperstein: das eigene IP- und Domain-Inventar

In der Beratungspraxis ist das Feld für die IP-Adressbereiche der häufigste Grund, warum eine Registrierung liegen bleibt (Projekterfahrung). Der Grund ist selten Unwille, sondern gewachsene Struktur: Die Hauptdomain liegt beim Hoster, die Kampagnen-Landingpage bei einer Agentur, das Kundenportal in einer Cloud-Umgebung, der alte Shop auf einer Subdomain, die seit Jahren niemand mehr aufruft. Alle vier sind von außen erreichbar, alle vier gehören in die Betrachtung.

• Vergessene Subdomains und Altsysteme — Test-, Staging- und Kampagnenumgebungen laufen oft Jahre weiter. Sie erscheinen in keinem Inventar, sind aber erreichbar und werden der Einrichtung zugerechnet. Wie sich exponierte Artefakte systematisch aufspüren lassen, zeigt der Beitrag zu exponierten Dateien wie .git-Verzeichnissen, .env-Dateien und Backups.
• Verwaiste DNS-Einträge — Records, die auf abgekündigte Dienste zeigen, sind ein bekanntes Übernahmerisiko und verfälschen zugleich das IP-Inventar. Die dazugehörige DNS-Hygiene inklusive Signaturprüfung beschreibt der Artikel zur DNSSEC-Validierung und DNS-Sicherheit.
• Dienstleisterbetriebene Bereiche — Werden Teile der Infrastruktur extern betrieben, gehören deren öffentliche Adressbereiche trotzdem zur Meldung, wenn sie unter der Verantwortung der Einrichtung stehen. Die Anforderungen an Dienstleisterbeziehungen behandelt der Beitrag zu Nachweisen von Dienstleistern unter NIS2.
• Dynamische Adressen — Gemeldet werden statische, öffentlich erreichbare Bereiche. Wo Adressen wechseln, braucht es eine dokumentierte Zuordnungslogik statt einer Momentaufnahme, damit die Zwei-Wochen-Aktualisierungspflicht überhaupt erfüllbar bleibt.

Ein kontinuierliches Uptime- und Erreichbarkeits-Monitoring hilft an dieser Stelle doppelt: Es hält die Liste der tatsächlich betriebenen Endpunkte aktuell und liefert gleichzeitig die Zeitreihe, die später als Nachweis dient. Ein Endpunkt, der überwacht wird, taucht im Inventar auf; ein Endpunkt, den niemand überwacht, fällt erfahrungsgemäß auch aus der Registrierung heraus.

Geschäftsleitungspflichten nach § 38 BSIG

Der eigentliche Bruch mit der bisherigen Rechtslage steht nicht in den Registrierungsvorschriften, sondern in § 38 BSIG. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen (§ 38 Absatz 1 BSIG). Die Richtlinie (EU) 2022/2555 formuliert dieselbe Anforderung in Artikel 20 als Governance-Pflicht der Leitungsorgane. Cybersicherheit ist damit ausdrücklich Leitungsaufgabe und keine Angelegenheit, die sich vollständig in die IT-Abteilung verschieben lässt.

Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts.

— § 38 Absatz 2 BSIG in der Fassung des NIS2UmsuCG

Die Haftungsfolge in § 38 Absatz 2 BSIG verweist auf das jeweilige Gesellschaftsrecht — bei der GmbH also auf die Sorgfaltspflichten der Geschäftsführung, bei der AG auf die des Vorstands. Praktisch verschiebt das die Beweislage: Nicht das Bundesamt muss belegen, dass nichts getan wurde, sondern die Leitung muss zeigen, dass sie gebilligt, überwacht und sich geschult hat. Aus dieser Perspektive ist die Registrierung beim BSI der einfachste und billigste Teil der Pflichtenkette — und zugleich der sichtbarste. Eine fehlende Registrierung ist von außen sofort erkennbar und wirkt als Indiz dafür, dass auch die übrigen Leitungspflichten nicht bearbeitet wurden.

Zuständigkeit: delegieren ja, abgeben nein

Operative Aufgaben dürfen an die IT-Abteilung, an ein Sicherheitsteam oder an externe Dienstleister delegiert werden. Die Letztverantwortung für Billigung, Überwachung und Nachweisführung verbleibt nach § 38 BSIG bei der Geschäftsleitung. Für die Registrierung heißt das: Die Kontaktstelle darf eine Fachabteilung sein, die Entscheidung über Einstufung und Datenqualität ist es nicht. In der Praxis bewährt sich eine klare Dreiteilung.

1. Geschäftsleitung — entscheidet über die Einstufung, billigt die Maßnahmen, verantwortet die Registrierung und dokumentiert beides. Sie legt außerdem fest, in welchem Rhythmus sie über den Umsetzungsstand berichtet bekommt.
2. NIS-2-Kontaktstelle — nimmt die Kommunikation mit dem Bundesamt entgegen, pflegt die Registrierungsdaten und stößt die Aktualisierung innerhalb von zwei Wochen an, wenn sich etwas ändert (BSI, NIS-2-Pflichten).
3. Technischer Betrieb — hält das Inventar der öffentlich erreichbaren Systeme aktuell, betreibt die Überwachung und liefert die zeitgestempelten Belege, auf die sich Billigung und Überwachung stützen.

Technische Nachweise für die Maßnahmen nach Artikel 21

Nach der Registrierung beginnt der Teil, der dauerhaft Arbeit macht. § 30 Absatz 2 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und benennt dafür zehn Mindestbereiche — von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen und die Bewertung der Wirksamkeit bis zu Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung (BSI, NIS-2-Pflichten). Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 enthält denselben Katalog. Entscheidend ist das Wort wirksam: Eine Maßnahme, deren Wirkung niemand misst, lässt sich weder bewerten noch belegen.

Für Website-Betreiber ist der öffentlich erreichbare Teil der Infrastruktur der Bereich, in dem sich Wirksamkeit am leichtesten objektivieren lässt. Er ist von außen messbar, unabhängig prüfbar und lückenarm protokollierbar. Die folgende Zuordnung zeigt, welche Datenspur zu welchem Maßnahmenbereich passt.

Diese Zuordnung ist keine vollständige Abbildung des Maßnahmenkatalogs — Personalsicherheit, Zugriffskontrolle, Schulungen und Krisenmanagement lassen sich nicht von außen messen. Sie zeigt aber, welcher Teil der Pflichten sich ohne zusätzlichen manuellen Aufwand belegen lässt, und das ist erfahrungsgemäß der Teil, an dem Prüfungen zuerst ansetzen, weil er von außen überprüfbar ist.

Vom Rohdatum zum prüfbaren Nachweispaket

Rohdaten sind noch kein Nachweis. Ein Nachweispaket entsteht erst, wenn Messwerte, Zeitbezug, Verantwortlichkeit und Entscheidung zusammenkommen. Sechs Schritte haben sich dafür bewährt und lassen sich in wenigen Wochen aufsetzen (Projekterfahrung).

1. Geltungsbereich festlegen — Welche Domains, Subdomains und Endpunkte gehören zur Einrichtung? Diese Liste ist zugleich die Grundlage der IP-Angaben nach § 33 Absatz 1 BSIG und der spätere Prüfumfang.
2. Kontinuierlich messen — Erreichbarkeit, Antwortzeit, TLS-Zustand, DNS-Einträge und Inhaltsintegrität in festen Intervallen prüfen, aus mehr als einem Netzstandort, damit einzelne Netzstörungen von echten Ausfällen unterscheidbar bleiben.
3. Ereignisse zeitgestempelt festhalten — Jeder Wechsel von verfügbar zu gestört und zurück braucht einen Zeitpunkt. Ohne Zeitstempel lässt sich später weder Erkennung noch Reaktionsdauer belegen.
4. Schwellen und Zuständige definieren — Ab welchem Wert wird alarmiert, wer wird informiert, wer entscheidet? Diese Festlegung ist selbst Teil der Dokumentation nach § 30 Absatz 2 BSIG.
5. Regelmäßig berichten — Monats- oder Quartalsberichte mit Verfügbarkeitsquote, Abweichungen und Bearbeitungsstand. Sie sind das Material, mit dem die Geschäftsleitung ihre Überwachungspflicht nach § 38 Absatz 1 BSIG belegt.
6. Billigung dokumentieren — Der Bericht geht in ein Leitungsgremium, die Entscheidung wird protokolliert. Erst dieser Schritt schließt die Kette von der Messung bis zur Verantwortung.

Bußgeldrahmen: was 500.000 Euro tatsächlich betrifft

Der Bußgeldrahmen des BSIG ist gestaffelt, und die Zuordnung wird in der Diskussion häufig vermischt. Für Verstöße gegen die Registrierungs- und Übermittlungspflichten — also wenn Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt werden — sieht das Gesetz einen eigenen Rahmen von bis zu 500.000 Euro vor (§ 65 Absatz 2 Nummer 6 in Verbindung mit § 65 Absatz 5 BSIG). Die deutlich höheren Rahmen von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige und bis zu 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen knüpfen an andere Verstöße an, insbesondere an die Risikomanagement- und Meldepflichten (§ 65 BSIG).

• Versäumte Registrierung — bis 500.000 Euro, unabhängig davon, ob sonst alles sauber läuft (§ 65 Absatz 5 BSIG). Das ist der Verstoß mit dem geringsten Aufwand zur Vermeidung.
• Unrichtige oder unvollständige Angaben — derselbe Rahmen greift, wenn die übermittelten Daten nicht stimmen (§ 65 Absatz 2 Nummer 6 BSIG). Ein veralteter IP-Bereich ist damit kein Schönheitsfehler.
• Unterlassene Aktualisierung — auch die verspätete Unterrichtung über Änderungen ist bußgeldbewehrt (§ 65 Absatz 2 Nummer 8 BSIG). Die Zwei-Wochen-Frist ist deshalb ein Betriebsprozess, kein Projektschritt.
• Persönliche Ebene — unabhängig vom Bußgeld gegen die Einrichtung haftet die Geschäftsleitung ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Absatz 2 BSIG).

Bemerkenswert ist das Verhältnis von Aufwand und Risiko. Die Registrierung selbst kostet einen überschaubaren zeitlichen Aufwand, sobald die Angaben vorliegen. Der Bußgeldrahmen dafür ist mit 500.000 Euro dennoch beträchtlich, weil er die formale Grundlage der gesamten Aufsicht betrifft: Ohne Register weiß die Behörde nicht, wer im Anwendungsbereich liegt. Wer die vergleichbaren Meldelogiken anderer Regelwerke kennt — etwa die Schwachstellen-Meldepflicht nach dem Cyber Resilience Act oder die Transparenzpflicht für Website-Chatbots nach der KI-Verordnung — erkennt dasselbe Muster: Die formale Pflicht ist billig zu erfüllen und teuer zu ignorieren.

Registrierung abschließen, Nachweise dauerhaft führen

Bis zum 31. Juli 2026 bleibt die Registrierung eine Aufgabe von wenigen Arbeitstagen, sofern Betroffenheitsprüfung, IP-Inventar und Kontaktstelle geklärt sind. Danach verschiebt sich der Schwerpunkt auf den dauerhaften Teil: Maßnahmen nach § 30 Absatz 2 BSIG umsetzen, ihre Wirksamkeit bewerten, die Ergebnisse der Geschäftsleitung vorlegen und die Billigung dokumentieren. Der Unterschied zwischen einer Einrichtung, die diesen Nachweis führen kann, und einer, die es nicht kann, liegt selten in der Technik — er liegt darin, ob jemand die Daten fortlaufend erhebt und aufbewahrt.

Für den von außen messbaren Teil ist der Einstieg unkompliziert: Erreichbarkeit, Antwortzeit, TLS-Zustand, DNS-Einträge und Inhaltsintegrität lassen sich für alle öffentlichen Endpunkte in einem Durchgang aufsetzen. Wer sehen möchte, wie eine solche Nachweisspur im Betrieb aussieht, findet in der NIS2-Readiness-Übersicht die Zuordnung zu den Maßnahmenbereichen, in der Demo-Umgebung den vollständigen Datenbestand ohne Anmeldung und in der Preisübersicht die Einordnung nach Umfang. Die Registrierung ist der Anfang der Pflichtenkette, nicht ihr Abschluss.