Suche
SupportNIS2-Registrierung verpasst? Was jetzt zu tun ist
Die Frist zur NIS2-Registrierung beim BSI ist abgelaufen. Was betroffene Unternehmen jetzt tun sollten – und warum die Registrierung nur der erste von mehreren Pflichtschritten ist.
In vielen mittelständischen Unternehmen lag das Thema NIS2 monatelang auf dem Stapel „wichtig, aber nicht dringend“. Jetzt fragt ein Großkunde im Lieferantenfragebogen nach der NIS2-Registrierung, oder der Steuerberater erwähnt sie beiläufig – und es stellt sich heraus, dass sich niemand darum gekümmert hat.
Mit dem NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist, sind in Deutschland deutlich mehr Unternehmen zu Cybersicherheitsmaßnahmen verpflichtet als zuvor. Betroffene Einrichtungen mussten sich innerhalb von drei Monaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, also bis Anfang März 2026. Nach Berichten von Kammern und Fachverbänden hat das BSI Nachmeldungen darüber hinaus noch bis Ende Juli 2026 hingenommen. Stand heute sind beide Termine verstrichen. Dieser Beitrag zeigt, was Sie jetzt tun sollten.
Schritt 1: Betroffenheit sauber klären
Bevor Sie sich registrieren, sollte feststehen, ob und in welcher Kategorie Ihr Unternehmen betroffen ist. Maßgeblich sind der Sektor Ihrer Geschäftstätigkeit und die Unternehmensgröße. Als Faustregel gilt die Schwelle für mittlere Unternehmen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Das Gesetz unterscheidet wichtige und besonders wichtige Einrichtungen; für einige Einrichtungen gelten Sonderregeln unabhängig von der Größe.
Halten Sie die Prüfung schriftlich fest: welche Tätigkeiten Sie betrachtet haben, welche Zahlen zugrunde liegen und zu welchem Ergebnis Sie gekommen sind. Ist die Einordnung unklar, etwa bei Unternehmensgruppen oder gemischten Geschäftsfeldern, lassen Sie sie rechtlich prüfen. Auch ein begründetes „nicht betroffen“ ist ein wertvolles Ergebnis – wenn es dokumentiert ist.
Schritt 2: Registrierung umgehend nachholen
Wer betroffen ist und sich noch nicht registriert hat, sollte das jetzt tun. Je länger die Registrierung aussteht, desto schwerer lässt sich gegenüber der Aufsicht erklären, warum die Pflicht nicht erfüllt wurde. Ein späterer, aber vollständiger und gut dokumentierter Schritt ist deutlich besser als weiteres Abwarten.
Die Registrierung läuft in zwei Stufen: Zuerst benötigt Ihr Unternehmen einen Zugang über Mein Unternehmenskonto, den digitalen Zugang für Unternehmen zu Verwaltungsleistungen. Dafür ist ein ELSTER-Organisationszertifikat erforderlich. Anschließend erfolgt die eigentliche Registrierung im BSI-Portal. Planen Sie Vorlauf ein, falls das Zertifikat erst beantragt werden muss.
Was Sie für die Registrierung bereithalten sollten
- Angaben zum Unternehmen und zur Einordnung in Sektor und Kategorie
- Kontaktdaten, über die Sie für das BSI erreichbar sind – auch während eines Vorfalls
- Die öffentlichen IP-Adressbereiche und Domains Ihres Unternehmens, soweit abgefragt
- Eine benannte verantwortliche Person und eine Vertretung
Prüfen Sie die aktuellen Anforderungen und Hinweise direkt beim BSI, da sich Verfahren und Abfragen im Detail ändern können.
Schritt 3: Die eigentlichen Pflichten angehen
Die Registrierung ist ein Formular. Die eigentlichen Anforderungen betreffen das Risikomanagement. Betroffene Unternehmen müssen geeignete technische und organisatorische Maßnahmen umsetzen und dokumentieren, darunter:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen inklusive Meldewegen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette
- Umgang mit Schwachstellen bei Beschaffung, Entwicklung und Wartung
- Zugriffskontrolle, Mehr-Faktor-Authentifizierung und Verschlüsselung
- Schulungen – ausdrücklich auch für die Geschäftsleitung
Die Geschäftsleitung muss diese Maßnahmen billigen und ihre Umsetzung überwachen. Was das in der Praxis bedeutet, beschreiben wir ausführlich im Beitrag NIS2 in der Praxis: Was Geschäftsleitungen jetzt wissen müssen.
Schritt 4: Meldewege einsatzbereit machen
Mit der Registrierung wird auch die Meldepflicht praktisch relevant. Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Prüfen Sie:
- Wer entscheidet, ob ein Vorfall erheblich ist?
- Wer hat Zugang zum BSI-Portal, und funktioniert dieser Zugang auch, wenn das eigene Netz ausgefallen ist?
- Ist die Meldung Teil Ihres Notfallplans – neben Versicherung, Polizei und Datenschutzaufsicht?
- Ist eine Vertretung benannt, falls die zuständige Person nicht erreichbar ist?
Die Meldung gehört in das IT-Notfallhandbuch, damit sie im Ernstfall nicht untergeht.
Ein pragmatischer Fahrplan für die nächsten Monate
- Sofort: Betroffenheit dokumentieren, Registrierung nachholen, Meldeweg festlegen
- In den ersten Wochen: Gap-Analyse gegenüber den Anforderungen, auf Basis der tatsächlichen Konfiguration, nicht nur von Fragebögen
- Danach: Maßnahmenplan mit Prioritäten, Verantwortlichen und Budget, beschlossen von der Geschäftsleitung
- Laufend: Umsetzung dokumentieren und der Geschäftsleitung regelmäßig berichten
Häufige Missverständnisse
- „Wir sind zu klein.“ Die Größenschwelle ist niedriger, als viele annehmen, und für einige Einrichtungen gilt sie gar nicht. Prüfen Sie die Zahlen, statt zu schätzen.
- „Unsere IT macht das.“ Die Registrierung kann delegiert werden, die Verantwortung der Geschäftsleitung für das Risikomanagement nicht.
- „Mit der Registrierung sind wir fertig.“ Die Registrierung ist eine Meldung an die Behörde. Die Pflichten zum Risikomanagement gelten unabhängig davon.
- „Wir haben ein Zertifikat, also passt alles.“ Eine ISO-27001-Zertifizierung ist eine gute Grundlage, ersetzt aber weder Registrierung noch Meldewege.
- „Nicht betroffen heißt, wir müssen nichts tun.“ Betroffene Kunden fragen ihre Lieferanten zunehmend nach Sicherheitsmaßnahmen. Wer Nachweise liefern kann, ist im Vorteil.
So gehen wir bei BABFE vor
Wir unterstützen Sie bei der technischen Gap-Analyse und setzen die Maßnahmen um. Ein schneller Einstieg ist unser kostenloser Sicherheitscheck, dessen Bericht jede Prüfung unter anderem NIS2 zuordnet. Für betreute Kunden enthält das Nachweispaket im Kundenportal den technischen Umsetzungsstand, zugeordnet zu NIS2 Art. 21, mit offenen Punkten, unsere Stellungnahmen zu den umgesetzten Maßnahmen und einen Kundenbericht je Quartal als Grundlage für Ihre Berichte an die Geschäftsleitung.
Für die rechtliche Einordnung der Betroffenheit empfehlen wir die Abstimmung mit Ihrer Rechtsberatung. Einen Überblick über unsere Leistungen finden Sie auf der Seite NIS2 – technisch umsetzen.
Ihr nächster Schritt
Klären Sie diese Woche, ob Ihr Unternehmen betroffen und registriert ist, und halten Sie das Ergebnis schriftlich fest. Für die nächsten Schritte stehen wir Ihnen gern zur Seite – die Erstberatung ist kostenfrei.
