NIS2: Die Registrierungsfrist ist abgelaufen, was Betriebe jetzt tun müssen

Die Frist für die NIS2-Registrierung beim BSI ist abgelaufen. Das schreibt das BSI selbst auf seiner Internetseite, und wer betroffen und noch nicht registriert ist, soll das umgehend nachholen. Dieser Beitrag trennt, was im Gesetz steht, was Kammern und Fachpresse berichten und was Sie diese Woche konkret tun können. Wir sind keine Rechtsberatung. Die Paragrafen verlinken wir zum Nachlesen, der Stand der Quellen ist der 2. November 2026.

Welche Frist galt, und was war der 31. Juli?

Das neue BSI-Gesetz (BSIG) ist am 6. Dezember 2025 in Kraft getreten. Nach § 33 Abs. 1 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate nach dem Zeitpunkt registrieren, ab dem sie als solche gelten. Für Betriebe, die von Anfang an darunter fielen, ergibt das gerechnet den 6. März 2026. Die IHK Bergische nennt dasselbe Datum.

Im Sommer kursierte zusätzlich der 31. Juli 2026. Die IHK Bergische schreibt, laut BSI müsse die Registrierung bis dahin abgeschlossen sein. Nach einem Bericht von it-daily hatte das BSI Wirtschaftsverbänden mitgeteilt, bis zu diesem Datum mit der vollständigen Umsetzung zu rechnen. Ein Dokument des BSI dazu haben wir nicht gesehen. Auf der BSI-Seite zu NIS2 steht heute nur, die gesetzliche Registrierungsfrist sei bereits abgelaufen. Wir behandeln den 31. Juli deshalb als Erwartung der Behörde. Eine zweite gesetzliche Frist ist er nach unserer Lesart nicht.

Zum Stichtag 31. Juli 2026 hatten sich laut BSI mehr als 19.000 Einrichtungen registriert, geschätzt sind rund 30.000 betroffen. Diese Angaben nennt die IHK Nord Westfalen. Ein Teil der Betroffenen hat die Pflicht demnach noch nicht oder nicht vollständig erfüllt.

Sind Sie betroffen?

Die Größenschwellen stehen in § 28 BSIG. Wichtige Einrichtungen haben mindestens 50 Mitarbeiter oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Besonders wichtige Einrichtungen haben mindestens 250 Mitarbeiter oder einen Jahresumsatz von über 50 Millionen Euro und eine Bilanzsumme von über 43 Millionen Euro.

Dazu muss der Betrieb einer der Einrichtungsarten in den Anlagen 1 und 2 des Gesetzes zugeordnet sein. Welche Branchen das im Einzelnen sind, haben wir nicht aufgelistet. Das klärt die Betroffenheitsprüfung des BSI. Bei Mitarbeiterzahl und Umsatz gilt die EU-Empfehlung 2003/361/EG. Bei verbundenen Unternehmen kann es auf die Zahlen der Gruppe ankommen, wenn der Betrieb bei seinen IT-Systemen nicht unabhängig ist (§ 28 Abs. 4).

Was gilt für Zulieferer?

Mancher Betrieb ist selbst keine Einrichtung im Sinne des Gesetzes und bekommt trotzdem Post. Betroffene Kunden müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit der Lieferkette berücksichtigen, einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern. Bei Ihnen kommt das als Fragebogen oder als Vertragsklausel an. Aus dieser Vorschrift allein ergibt sich nach unserer Lesart keine Registrierungspflicht für den Zulieferer, sie richtet sich an die betroffene Einrichtung. Was Ihr Kunde vertraglich verlangt, ist davon getrennt zu bewerten.

Was droht, wenn Sie nicht registriert sind?

Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig die Angaben nach § 33 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt (§ 65 Abs. 2 Nr. 6 BSIG). Die Geldbuße kann bis zu 500.000 Euro betragen (§ 65 Abs. 5). Das ist ein Höchstrahmen. Wie hoch eine Buße im Einzelfall ausfällt, steht nicht im Gesetz.

Daneben darf das BSI die Registrierung im Einvernehmen mit den Aufsichtsbehörden selbst vornehmen (§ 33 Abs. 3). Bei tatsächlichen Anhaltspunkten für eine nicht erfüllte Pflicht kann es Unterlagen und Auskunft verlangen (§ 33 Abs. 4).

Zur Praxis: Laut it-daily blieb die überschrittene Frist bis zum Sommer folgenlos, und das BSI stellte Sanktionen kurzfristig nicht in den Vordergrund. Ob und wie die Behörde seither Bußgelder für fehlende Registrierungen verhängt hat, konnten wir nicht belegen. Dass bisher nichts bekannt ist, ist keine Zusage für die Zukunft.

Was die Geschäftsleitung wissen sollte

§ 38 BSIG richtet sich an die Geschäftsleitung. Sie muss die Risikomanagementmaßnahmen nach § 30 umsetzen und deren Umsetzung überwachen, und sie muss regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten und entsteht der Einrichtung ein Schaden, haftet sie ihrer Einrichtung für den schuldhaft verursachten Schaden. Maßstab ist das Gesellschaftsrecht der jeweiligen Rechtsform. Die Haftung besteht also gegenüber dem eigenen Betrieb, nicht gegenüber dem BSI.

Die Registrierung in zwei Schritten

Das BSI beschreibt den Weg so: Zuerst beantragen Sie über „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat. Mit diesem Zertifikat registrieren Sie sich danach im BSI-Portal. Eine Anleitung zur Registrierung stellt das BSI bereit. Fangen Sie mit dem Zertifikat an, weil der zweite Schritt davon abhängt. Ändern sich Ihre Angaben später, müssen Sie das dem BSI binnen zwei Wochen melden (§ 33 Abs. 5).

Was nach der Registrierung ansteht

Die Registrierung ist der Anfang. Die Mindestinhalte der Risikomanagementmaßnahmen stehen in § 30 Abs. 2 BSIG. Dazu gehören unter anderem:

• Risikoanalyse und Sicherheitskonzepte
• Umgang mit Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, also Backup-Management, Notfallwiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette
• Schulung und Sensibilisierung der Beschäftigten
• Personal, Zugriffskontrolle und Verwaltung der IT-Systeme

Wie weit das im Einzelnen geht, hängt vom Betrieb ab. Hier lohnt eine fachliche Prüfung durch IT-Sicherheit und Rechtsberatung.

Fünf Schritte für diese Woche

1. Betroffenheitsprüfung des BSI durchführen und das Ergebnis schriftlich festhalten, auch wenn Sie nicht betroffen sind. Das ist unsere Empfehlung, keine gesetzliche Vorgabe.
2. Bei Betroffenheit das ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ beantragen.
3. Danach im BSI-Portal registrieren.
4. In der Geschäftsleitung klären, wer die Umsetzung überwacht und wer an der Schulung teilnimmt (§ 38).
5. Fragebögen und Vertragsklauseln von Kunden sammeln, damit Sie bei der Lieferkette nicht jede Anfrage einzeln beantworten.

Wer seine Abläufe kennt, beantwortet Fragen zu Betriebskontinuität, Zugriffen und Lieferkette schneller. Wie wir Abläufe an einem echten Auftrag aufnehmen, beschreiben wir in Wissenssicherung über die realen Vorgänge. Mehr zu unserer Arbeit finden Sie in der KI-Beratung für den Mittelstand. Rechtsberatung zu NIS2 leisten wir nicht.

Häufige Fragen

Wann war die NIS2-Registrierungsfrist?

Nach § 33 Abs. 1 BSIG müssen sich Einrichtungen spätestens drei Monate nach dem Zeitpunkt registrieren, ab dem sie unter das Gesetz fallen. Für Betriebe, die ab Inkrafttreten am 6. Dezember 2025 erfasst waren, ergibt das den 6. März 2026. Der 31. Juli 2026 wurde laut IHK und Fachpresse vom BSI als Erwartung genannt, ein BSI-Dokument dazu haben wir nicht gesehen. Auf seiner Internetseite schreibt das BSI, die gesetzliche Registrierungsfrist sei abgelaufen.

Kann ich mich nach der Frist noch registrieren?

Das BSI fordert betroffene Einrichtungen auf, sich umgehend im BSI-Portal zu registrieren. Voraussetzung ist ein ELSTER-Organisationszertifikat, das Sie über „Mein Unternehmenskonto“ beantragen. Wie das BSI mit einer verspäteten Registrierung umgeht, ist öffentlich nicht belegt.

Welches Bußgeld droht bei fehlender Registrierung?

Wer vorsätzlich oder fahrlässig die Angaben nach § 33 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG). Die Geldbuße kann bis zu 500.000 Euro betragen (§ 65 Abs. 5 BSIG). Das ist ein Höchstrahmen, kein Festbetrag. Ob das BSI seit dem Sommer 2026 Bußgelder für fehlende Registrierungen verhängt hat, konnten wir nicht belegen.

Bin ich als Mittelständler betroffen?

Das hängt von Branche und Größe ab. Wichtige Einrichtungen haben mindestens 50 Mitarbeiter oder einen Jahresumsatz und eine Bilanzsumme von jeweils über 10 Millionen Euro. Besonders wichtige Einrichtungen haben mindestens 250 Mitarbeiter oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme (§ 28 BSIG). Außerdem muss Ihre Branche in den Anlagen 1 oder 2 des Gesetzes stehen. Die Betroffenheitsprüfung des BSI klärt das.

Haftet der Geschäftsführer persönlich?

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten und entsteht der Einrichtung dadurch ein Schaden, haftet sie ihrer Einrichtung für den schuldhaft verursachten Schaden, nach dem Gesellschaftsrecht der jeweiligen Rechtsform. Für Ihren Einzelfall empfehlen wir eine Rechtsberatung.

Müssen auch Zulieferer betroffener Unternehmen etwas tun?

Betroffene Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette berücksichtigen. Das kann bei Ihnen als Zulieferer zu Fragebögen oder Vertragsklauseln führen. Eine eigene Registrierungspflicht ergibt sich aus dieser Vorschrift nach unserer Lesart nicht, was Ihr Kunde vertraglich verlangt, kann aber verbindlich werden.