NIS-2-Registrierung: Was Unternehmen jetzt noch tun müssen

Inhaltsverzeichnis

NIS-2-Registrierung: Was Unternehmen jetzt noch tun müssen

Der 31. Juli 2026 war der offizielle Stichtag für die BSI-Registrierung im Rahmen der NIS-2-Richtlinie. Wer die NIS-2 Registrierung beim BSI bis zu diesem Datum noch nicht abgeschlossen hat, steht nun vor einer klaren Aufgabe: unverzügliches Handeln. Denn Untätigkeit ist keine Option – nicht rechtlich, nicht wirtschaftlich, und nicht mit Blick auf die eigene Unternehmensverantwortung.

Was nach dem Stichtag gilt: Die aktuelle Rechtslage

Mit dem NIS2UmsuCG – dem deutschen Umsetzungsgesetz der EU-Richtlinie – ist die Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI) für Betreiber wesentlicher und wichtiger Einrichtungen verbindlich. Der Stichtag 31. Juli 2026 markiert nicht das Ende der Pflicht, sondern den Beginn des behördlichen Vollzugs.

Laut Angaben der IHK und des BSI waren zum Stichtag rund 10.500 von 29.000 betroffenen Unternehmen noch nicht registriert. Das entspricht mehr als einem Drittel aller verpflichteten Einrichtungen – ein erheblicher Compliance-Rückstand, den Behörden zunehmend im Blick haben.

Welche Konsequenzen drohen?

Das NIS2UmsuCG sieht empfindliche Sanktionen vor:

  • Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen
  • Bußgelder bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes für wichtige Einrichtungen
  • Persönliche Haftung der Geschäftsführung bei grober Fahrlässigkeit oder vorsätzlichem Verstoß
  • Mögliche Anordnung vorübergehender Betriebsunterbrechungen durch das BSI

Die Geschäftsführerhaftung ist dabei kein theoretisches Risiko. Das NIS2UmsuCG schreibt explizit vor, dass Leitungsorgane die Umsetzung von Cybersicherheitsmaßnahmen aktiv steuern und überwachen müssen.

NIS-2 Registrierung BSI: So funktioniert die Nachregistrierung

Die Nachregistrierung ist möglich und sollte umgehend eingeleitet werden. Das BSI betreibt dafür das MELDEPFL-Portal (ehemals KRITIS-Portal), das als zentrales Meldesystem für alle betroffenen Einrichtungen dient.

Schritt-für-Schritt: Was jetzt zu tun ist

1. Betroffenheit prüfen

Nicht jedes Unternehmen ist automatisch NIS-2-pflichtig. Betroffen sind Einrichtungen in 18 definierten Sektoren – von Energie und Transport bis hin zu digitaler Infrastruktur, Gesundheit und Abfallwirtschaft – die bestimmte Schwellenwerte überschreiten:

  • Wesentliche Einrichtungen: ab 250 Mitarbeitern oder 50 Mio. € Jahresumsatz + 43 Mio. € Bilanzsumme
  • Wichtige Einrichtungen: ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz + 10 Mio. € Bilanzsumme

Einen ersten Überblick, welche Unternehmen betroffen sind, bietet unser Artikel NIS-2-Richtlinie: Wer muss handeln und was Unternehmen jetzt wissen müssen.

2. Registrierung im BSI-Portal abschließen

Für die Registrierung werden folgende Informationen benötigt:

  • Unternehmensname, Rechtsform und Handelsregisternummer
  • Kontaktdaten der Ansprechperson für IT-Sicherheit
  • Einstufung als wesentliche oder wichtige Einrichtung
  • Zugehöriger NIS-2-Sektor gemäß NIS2UmsuCG-Anhang
  • Zuständige Aufsichtsbehörde (BSI oder sektorbezogene Behörde)

3. CISO oder Sicherheitsverantwortlichen benennen

Das Gesetz fordert eine verantwortliche Person für IT-Sicherheit. Diese muss intern benannt und im BSI-Portal hinterlegt werden.

4. Meldeprozesse etablieren

Nach der Registrierung beginnt die operative Pflicht: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden, ein vollständiger Bericht folgt innerhalb von 72 Stunden.

Welche Maßnahmen nach der Registrierung folgen müssen

Die Registrierung ist der erste Schritt – nicht der letzte. Das NIS2UmsuCG verlangt von betroffenen Einrichtungen die Umsetzung eines umfassenden Risikomanagements.

Technische und organisatorische Mindestmaßnahmen

Laut BSI-Mindeststandard und § 30 NIS2UmsuCG sind unter anderem verpflichtend:

  • Risikoanalyse und Informationssicherheitskonzept (ISMS)
  • Incident Response und Business Continuity Management
  • Sicherheit der Lieferkette – auch Drittanbieter und Dienstleister müssen geprüft werden
  • Zugriffskontrolle und Identitätsmanagement (MFA, Privileged Access)
  • Verschlüsselung sensibler Daten in Übertragung und Speicherung
  • Schulung und Sensibilisierung der Mitarbeitenden
  • Schwachstellenmanagement und regelmäßige Sicherheitstests

Ein strukturiertes Vorgehen bei der Umsetzung dieser Anforderungen beschreibt unser Leitfaden NIS-2-Anforderungen Schritt für Schritt umsetzen.

Zero Trust als strategisches Fundament

Für Unternehmen, die ihre Sicherheitsarchitektur grundlegend ausrichten wollen, empfiehlt das BSI – wie auch internationale Sicherheitsbehörden – den Übergang zu Zero-Trust-Prinzipien. Das bedeutet: Kein Zugriff ohne Verifikation, keine impliziten Vertrauensverhältnisse innerhalb des Netzwerks.

Das Zero-Trust-Modell ist kein Produkt, sondern ein Architekturprinzip. Mehr dazu in unserem Beitrag Zero Trust Architekturprinzip.

IT-Compliance für KMU: Besondere Herausforderungen

Gerade für mittelständische Unternehmen stellt die NIS-2-Compliance eine organisatorische Herausforderung dar. Ressourcen sind begrenzt, eigene IT-Sicherheitsteams selten. Dennoch gelten die gleichen gesetzlichen Anforderungen.

Eine PwC-Studie aus dem Juni 2026 zeigt: Nur 38 % der betroffenen KMU haben ein formales ISMS eingeführt. Gleichzeitig sind gerade kleinere Unternehmen überproportional häufig Ziel von Ransomware-Angriffen – ein Risiko, das durch mangelnde Cybersicherheitsmaßnahmen weiter steigt.

Wirksamen Schutz vor Ransomware und anderen Cyberbedrohungen im Mittelstand beschreibt unser Beitrag zur Ransomware-Prävention für KMU.

Externe Unterstützung gezielt nutzen

Für KMU ohne eigene Sicherheitsabteilung bieten sich folgende Optionen an:

  • Managed Security Service Provider (MSSP): Outsourcing von Monitoring, Incident Response und Compliance-Dokumentation
  • IT-Sicherheitsberatung: Externe Fachkräfte begleiten die Registrierung und strukturieren das ISMS-Projekt
  • BSI-Ressourcen: Das BSI stellt Umsetzungshilfen, Checklisten und Branchenstandards kostenlos bereit (it-grundschutz.bsibund.de)
  • IHK-Beratung: Viele Industrie- und Handelskammern bieten kostenlose Erstgespräche zur NIS-2-Betroffenheit an

NIS-2-Checkliste: Was Unternehmen nach dem 31. Juli 2026 erledigen müssen

Die folgende Übersicht gibt einen kompakten Handlungsrahmen:

  • Betroffenheit nach NIS2UmsuCG geprüft (Sektor, Größe, Funktion)
  • Registrierung im BSI-Portal eingeleitet oder abgeschlossen
  • Verantwortliche Person für IT-Sicherheit (CISO / ISB) benannt
  • Meldeprozesse für Sicherheitsvorfälle definiert und kommuniziert
  • Risikoanalyse und ISMS-Konzept beauftragt oder in Umsetzung
  • Lieferkette und kritische Dienstleister auf Sicherheitsanforderungen geprüft
  • Schulungsplan für Mitarbeitende und Geschäftsführung aufgesetzt
  • Nachweis der Maßnahmen für eventuelle BSI-Prüfung dokumentiert

FAQ: NIS-2-Registrierung BSI

Was passiert, wenn ich die BSI-Registrierung jetzt noch nachhole – drohen trotzdem Bußgelder?

Eine unverzügliche Nachregistrierung wird von Behörden grundsätzlich positiv bewertet. Sie mildert das Bußgeldrisiko, schließt es aber nicht vollständig aus. Entscheidend ist, dass die Registrierung nachweislich eingeleitet wurde und keine weiteren Compliance-Verstöße hinzukommen. Wer parallel mit der Umsetzung technischer Maßnahmen beginnt, signalisiert behördliche Kooperationsbereitschaft.

Gilt die NIS-2-Registrierungspflicht auch für Tochtergesellschaften internationaler Konzerne?

Ja. Maßgeblich ist, ob die Einrichtung in Deutschland tätig ist und die Schwellenwerte erfüllt – unabhängig davon, ob der Mutterkonzern bereits in einem anderen EU-Land registriert ist. Jede eigenständige juristische Einheit mit Sitz oder Haupttätigkeit in Deutschland muss die Registrierungspflicht eigenständig erfüllen.

Was versteht das BSI unter einem „erheblichen Sicherheitsvorfall“, der gemeldet werden muss?

Ein Sicherheitsvorfall gilt als erheblich, wenn er erhebliche Betriebsstörungen verursacht oder verursachen kann, oder wenn er andere natürliche oder juristische Personen erheblich beeinträchtigt. Dazu zählen insbesondere Ransomware-Angriffe, Datenschutzverletzungen mit Betriebsrelevanz, DDoS-Angriffe auf kritische Systeme sowie Kompromittierungen von Lieferketten.

 

Teilen:

Nach oben scrollen

Wir sind auf der
it-sa 2026!

Vom 27. bis 29. Oktober 2026 sind wir auf der it-sa Expo&Congress in Nürnberg dabei.

Freut euch auf spannende Gespräche, innovative IT-Sicherheitslösungen und den persönlichen Austausch mit unserem Team.

📍 Halle 7 | Stand 341

🤝 Wir freuen uns auf euren Besuch!

Jetzt kostenloses Ticket anfordern

Kingdompreneurship Summit 2026

Vom 30. bis 31. Oktober 2026 dreht sich alles um Unternehmertum, Innovation und die Verbindung von Glauben und Business.

Freut euch auf inspirierende Gespräche, neue Perspektiven und wertvolle Kontakte mit Unternehmern und Gründern.

📍 CongressForum Frankenthal | Stand 6

🤝 Wir freuen uns auf den Austausch mit euch

Hier mehr erfahren

Jamil Isayyed

Jamil ist ein erfahrener Fachmann für digitale Prozesse, verfügt über einen reichen internationalen Hintergrund in der Informationstechnologie- und Dienstleistungsbranche, der sich über Deutschland, Griechenland und Palästina erstreckt. Er hat einen Bachelor-Abschluss in Informatik und eine Scrum-Master-Zertifizierung der Scrum Alliance mit Schwerpunkt Computer Software-Engineering. Jamils Leidenschaft gilt der Führung und dem Aufbau von Hochleistungsteams, die außergewöhnliche Erfahrungen liefern und wertvolle Möglichkeiten für Kunden schaffen. Zusätzlich zu seiner Hauptaufgabe ist er der Direktor der Axsos Academy GmbH. In dieser Funktion leitet er ein dynamisches deutsch-palästinensisches Bootcamp, das Jugendlichen den Einstieg in den IT-Markt und den Aufbau einer erfolgreichen Karriere ermöglichen soll.

Bernd Länge

Bernd Länge ist seit über 20 Jahren in der IT-Branche tätig und berät Kunden und Interessenten in Fragen der Cybersicherheit sowie bei der Entwicklung und Implementierung von Informationssicherheitsmanagement und Datenschutz. In dieser Funktion fungiert er als externer Datenschutz- und Informationssicherheitsbeauftragter für Kunden. Es ist ihm wichtig, einen pragmatischen Ansatz zu verfolgen und eng mit Kunden, Partnern und Herstellern zusammenzuarbeiten, um sicherzustellen, dass die Unternehmenssicherheit der Kunden auf dem neuesten Stand ist.

Martin Müller

Als Technik-Enthusiast und engagierte Führungspersönlichkeit unterstützt er seit über 20 Jahren Unternehmen in der IT-Branche dabei, den Weg in die Zukunft der Arbeit zu gestalten. Dank seiner schnellen Auffassungsgabe und seiner Fähigkeit, effektive Lösungen zu entwickeln, kann er eine klare Vision davon formulieren, wie unsere zukünftige Arbeitsweise aussehen wird. Schritt für Schritt meistert er Herausforderungen und treibt uns in die Zukunft voran. Diese Aufgaben bewältigt er jedoch nicht alleine. Er verfügt über ein kompetentes Team, dem er voll und ganz vertraut und auf das er sich verlassen kann. Gemeinsam überwinden sie jede Hürde! Durch positives, kritisches Denken führt oft die zweitbeste Lösung zu inkrementellem Erfolg – schließlich wurde auch ein Imperium nicht an einem Tag erbaut. Diese Herangehensweise macht ihn in seiner Rolle einzigartig, und er freut sich darauf, gemeinsam mit Ihnen den Weg in die Zukunft zu beschreiten.

Rolf Stephan

Seine Begeisterung für die Informationstechnologie führte Rolf zum Studium der Informatik und zum Abschluss an der Universität Karlsruhe, dem heutigen KIT / Karlsruher Institut für Technologie. Seitdem ist Rolf in der IT-Branche tätig und kennt die Branche aus dem Effeff – national und international. Seit mehr als 25 Jahren setzt er auf die internationale Zusammenarbeit von Experten über alle Kulturen hinweg. Diesen Ansatz verfolgte er auch in seinem ersten von ihm gegründeten Unternehmen, der AD Solutions AG, die sich schnell zu einem renommierten internationalen IT-Dienstleister mit mehreren Niederlassungen in Deutschland, der Schweiz, Österreich und den USA entwickelte. Seit 2010 ist Rolf Stephan General Manager und seit 2021 CEO der AXON IVY AG mit Hauptsitz in der Schweiz. Seit 2009 ist er für die Axsos AG als Investor, Aktionär und Aufsichtsratsvorsitzender tätig.

Frank Müller

Frank ist ein leidenschaftlicher IT-Experte und visionärer Unternehmer. Er liebt und glaubt an Frieden und Freiheit. Diese Werte sind für ihn mehr als nur Worte. Sie sind das Ergebnis von großem Bewusstsein, Verantwortung und einem soliden Fundament. Sein Fundament ist sein Glaube an Jesus und seine bedingungslose Liebe zu den Menschen. Auf diesem Fundament baut Frank seine großen Visionen auf, wie zum Beispiel den Einsatz für den Frieden im Heiligen Land. Er scheut sich nicht, kreative und unkonventionelle Ideen zu verwirklichen, wie die Gründung eines mittelständischen Unternehmens, das sich über vier Länder und Kulturen erstreckt und seinen Mitarbeitern viel Freiheit bietet. Die Gründung einer Bootcamp-Akademie mitten in der Coronavirus-Pandemie gehört sicherlich zu diesen Unternehmungen. Durch diese Bemühungen schafft Frank neue Innovationen und einen Mehrwert für seine Kunden und die Menschen, die mit ihm unterwegs sind. Mit mehr als 32 Jahren IT-Erfahrung und 15 Jahren als Unternehmer hilft Frank anderen Unternehmern, sich auf ihr Kerngeschäft zu konzentrieren und ihre Anforderungen in technologische Möglichkeiten und Implementierungen umzusetzen. Sein Team und er können diese Anforderungen in eine maßgeschneiderte IT-Strategie, Prozesse und Technologien umsetzen. Frank hat immer ein Herz für die Menschen, die er unterstützt, und möchte sie ermutigen, neue Wege zu gehen und ihr Potenzial zu entwickeln. Frank ist offen für den Gedankenaustausch mit Menschen, die Werte nicht als CSR oder Marketinggeschwätz sehen, sondern als Grundlage ihres Handelns. Er sucht den Kontakt zu Menschen, die die Welt zum Besseren verändern wollen. Darüber hinaus sind auch diejenigen willkommen, die auf dem Weg in die Cloud, die Digitalisierung oder den Einsatz von KI die Unterstützung von ihm oder seinem Team suchen.