Zusammengefasst: Nach aktuellen Medienberichten hat das BSI angekündigt, noch im vierten Quartal 2026 eine Durchsetzungsinitiative zur NIS2-Registrierungspflicht zu starten. Zunächst soll die Behörde Unternehmen ansprechen, die sich offensichtlich hätten registrieren müssen. Ab dem ersten Quartal 2027 sind demnach bei ausgewählten Einrichtungen Audit-Anordnungen und Nachweisanforderungen geplant. § 61 Abs. 1 BSIG ermöglicht Audit-Anordnungen gegenüber einzelnen besonders wichtigen Einrichtungen. Nach der berichteten Vorgehensweise ist ein Bußgeld kein automatischer erster Schritt, kann jedoch im weiteren Verfahren folgen. Was hat das BSI zur NIS2-Durchsetzung angekündigt? Nach aktuellen Medienberichten hat das BSI angekündigt, noch im vierten Quartal 2026 eine Durchsetzungsinitiative zur NIS2-Registrierungspflicht zu starten. Grundlage ist eine Aussage von Timo Hauschild, Abteilungsleiter Cybersicherheit in der Wirtschaft beim BSI, aus einem Pressegespräch, über das ChannelPartner am 8.10.2026 unter Bezug auf Tagesspiegel Background berichtet. Die Zeitplanung ist damit als berichtete Behördenaussage einzuordnen, nicht als formale BSI-Veröffentlichung. Dem Medienbericht zufolge plant die Behörde zwei Schritte. Für Unternehmen ist die Unterscheidung zwischen der Durchsetzung der Registrierungspflicht und angeordneten Audits entscheidend. Zeitplan im Überblick ZeitraumMaßnahmeBetroffeneQ4 2026Nach Medienberichten: Ansprache wegen fehlender Registrierung; der Prozess soll mit einer Anhörung beginnen.Unternehmen, bei denen die Registrierungspflicht nach Einschätzung des BSI offensichtlich ist.ab Q1 2027Nach Medienberichten: geplante Audit-Anordnungen und Nachweisanforderungen mit jeweils eigenem Themenfokus.Ausgewählte Einrichtungen; Audit-Anordnungen nach § 61 Abs. 1 BSIG gegenüber einzelnen besonders wichtigen Einrichtungen. Im KRITIS-Bereich laut Medienbericht zunächst Sektoren mit dem größten Bedarf.Nach der von ChannelPartner am 8.10.2026 wiedergegebenen Aussage Hauschilds soll die Ansprache wegen fehlender Registrierung zunächst mit einer Anhörung beginnen. Ein Bußgeld ist demnach kein automatischer erster Schritt, kann jedoch im weiteren Verfahren folgen. Was bisher offen ist Aus den hier herangezogenen Veröffentlichungen gehen drei Punkte nicht hervor: Kein konkret benannter Prüfkatalog für die angekündigte Initiative Der herangezogene Medienbericht nennt keinen verbindlichen Katalog der Nachweise, die bei den angekündigten Einzelanordnungen verlangt werden sollen. Keine einheitliche Antwortfrist Eine allgemeine Frist für die Antwort auf eine Anhörung ist im Medienbericht nicht genannt. Keine festgelegte Reihenfolge Welche Sektoren oder Einrichtungen zuerst eine Anordnung erhalten sollen, konkretisiert der Medienbericht nicht. Wie viele Unternehmen sind bereits beim BSI registriert? Zum 30. September 2026 verzeichnete das BSI insgesamt 20.373 NIS2-Registrierungen einschließlich 232 registrierter Nebenniederlassungen. Die offiziellen Angaben stammen aus der BSI-Veröffentlichung „NIS-2 in Zahlen“. Nach dem Bericht von ChannelPartner vom 8.10.2026 rechnet das BSI mit insgesamt rund 30.000 betroffenen Einrichtungen. Nach Einschätzung von ChannelPartner fehlt damit noch knapp ein Drittel. Wie groß die Lücke tatsächlich ist, lässt sich wegen Nebenniederlassungen und Schätzwerten nicht exakt berechnen. Die Registrierung muss gemäß § 33 Abs. 1 BSIG grundsätzlich spätestens drei Monate erfolgen, nachdem eine Organisation erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt. Für Einrichtungen, die bereits seit dem Inkrafttreten am 6. Dezember 2025 erfasst waren, endete diese Frist grundsätzlich am 6. März 2026. Für später erstmals oder erneut erfasste Einrichtungen gilt die entsprechend später beginnende Dreimonatsfrist. Entscheidend ist der Eintritt der gesetzlichen Voraussetzungen, nicht der Zeitpunkt, zu dem das Unternehmen seine Betroffenheit erkennt. Hinweise zum Ablauf im BSI-Portal bietet der Beitrag NIS2-Registrierung beim BSI: Ablauf und Fristen. Was passiert, wenn das BSI ein Unternehmen anspricht? Nach der angekündigten Vorgehensweise soll der Prozess zunächst mit einer Anhörung beginnen. Ein Bußgeld ist nach der von ChannelPartner wiedergegebenen Aussage des BSI-Vertreters kein automatischer erster Schritt, kann jedoch im weiteren Verfahren folgen. Eine einheitliche Antwortfrist lässt sich dem Medienbericht nicht entnehmen. Was im Bußgeldverfahren konkret droht und welche Verantwortung die Geschäftsleitung dabei trägt, erklärt der Beitrag NIS2-Haftung: Was Geschäftsführer jetzt wissen müssen. Registrierung oder Audit: Wo liegt der Unterschied? Für Betreiber kritischer Anlagen besteht daneben ein eigenständiges Nachweisverfahren nach § 39 BSIG. Es ist von Einzelanordnungen nach § 61 zu unterscheiden und umfasst grundsätzlich wiederkehrende Nachweise im Dreijahreszyklus; maßgeblich sind die gesetzliche Regelung und der vom BSI festgelegte Nachweiszeitpunkt. Die angekündigte Initiative ab 2027 setzt diese bestehenden Pflichten nicht erst in Kraft. Registrierung und Audit sind zwei getrennte Verfahren. Sie unterscheiden sich in Auslöser, Zeitpunkt und dem, was ein Unternehmen vorlegen muss. Registrierung (§ 33 BSIG)Audit-Anordnung (§ 61 Abs. 1 BSIG)AuslöserGesetzliche Pflicht bei BetroffenheitEinzelanordnung durch das BSIZeitpunktGrundsätzlich spätestens drei Monate nach erstmaligem oder erneutem Eintritt der Voraussetzungen gemäß § 33 Abs. 1 BSIG; Durchsetzungsinitiative laut Medienberichten ab Q4 2026 geplantNach Medienberichten ab Q1 2027 geplant; maßgeblich ist die jeweilige EinzelanordnungGegenstandFormale Registrierung und Übermittlung der Angaben nach § 33 Abs. 1 BSIG über das BSI-PortalInhaltliche Prüfung der RisikomanagementmaßnahmenBetroffeneAlle besonders wichtigen und wichtigen EinrichtungenEinzelne besonders wichtige Einrichtungen nach Auswahl des BSI gemäß § 61 Abs. 1 BSIGWas vorzulegen istStamm- und Kontaktdaten sowie weitere gesetzlich vorgeschriebene Angaben gemäß § 33 Abs. 1 BSIG, unter anderem öffentliche IP-Adressbereiche, Sektor/Branche, gegebenenfalls betroffene EU-Mitgliedstaaten und zuständige AufsichtsbehördenNachweise entsprechend der jeweiligen Anordnung und gesetzlichen Grundlage; laut Medienbericht jeweils mit festgelegtem ThemenfokusDie gesetzliche Grundlage bildet das seit dem 6. Dezember 2025 geltende BSI-Gesetz (BSIG): Registrierung nach § 33 sowie Risikomanagement und Dokumentation nach § 30. § 61 Abs. 1 ermöglicht gegenüber einzelnen besonders wichtigen Einrichtungen die Anordnung von Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen. Auch wichtige Einrichtungen können unter den Voraussetzungen des § 62 BSIG Maßnahmen nach § 61 unterliegen: Dafür müssen Tatsachen die Annahme rechtfertigen, dass die in § 62 genannten Pflichten nicht oder nicht richtig umgesetzt werden. Weitere Aufsichts- und Nachweisinstrumente unterliegen jeweils eigenen Voraussetzungen. Die in Medienberichten genannte Zeitplanung ist von diesen bereits bestehenden gesetzlichen Befugnissen zu unterscheiden. Die angekündigten Einzelanordnungen sind nicht mit einer allgemeinen Nachweisanforderung an sämtliche besonders wichtigen Einrichtungen gleichzusetzen. § 61 Abs. 3 Satz 1 BSIG erlaubt Nachweisanforderungen gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten des Gesetzes. Für zugelassene Krankenhäuser nach § 108 SGB V sieht die Vorschrift grundsätzlich fünf Jahre vor, soweit nicht durch Rechtsverordnung ein früherer Zeitpunkt bestimmt wird. Ergebnisse eines nach § 61 Abs. 1 angeordneten Audits kann das BSI dagegen nach § 61 Abs. 3 Satz 2 anfordern. Welche Nachweise sollten Unternehmen für ein NIS2-Audit bereithalten? Das BSI hat bisher keinen offiziellen Prüfkatalog veröffentlicht. Aus den gesetzlichen Anforderungen nach § 30 BSIG lässt sich aber ableiten, welche Nachweisgruppen bei einem Audit wahrscheinlich eine Rolle spielen: Risikoanalyse und Sicherheitskonzepte Zeigen, wie ein Unternehmen Risiken bewertet und welche Schutzmaßnahmen daraus folgen. Vorfallbehandlung, Backup und Wiederherstellung Belegen, dass ein Sicherheitsvorfall erkannt, gemeldet und der Betrieb wiederhergestellt werden kann. Mehr dazu im Beitrag Umgang mit IT-Sicherheitsvorfällen. Lieferkettensicherheit Dokumentiert, wie ein Unternehmen Risiken bei Zulieferern und Dienstleistern steuert. Schwachstellenmanagement, Zugriffskontrolle und Multi-Faktor-Authentifizierung Zeigen, dass bekannte Schwachstellen behoben und Zugänge abgesichert sind. Mehr zu Vulnerability Management und Identity & Access Management. Wirksamkeitsprüfungen und Mängelbehebung Belegen, dass Schutzmaßnahmen tatsächlich funktionieren, zum Beispiel durch einen dokumentierten Penetrationstest. Diese Liste ist eine Arbeitshilfe aus den gesetzlichen Anforderungen. Sie ist kein offizieller Prüfkatalog des BSI. Alle zehn Maßnahmenbereiche nach § 30 BSIG im Detail beschreibt der Beitrag NIS2-Anforderungen: Der Maßnahmenkatalog nach § 30 BSIG. In vier Schritten auf die Durchsetzung vorbereiten 01 Betroffenheit prüfen Klären, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt. Der Beitrag Wer ist von NIS2 betroffen? und der Betroffenheits-Check geben Orientierung. 02 Registrierung fristgerecht abschließen Wer registrierungspflichtig ist, muss die individuelle Dreimonatsfrist nach § 33 Abs. 1 BSIG beachten und eine bereits versäumte Registrierung nachholen. Besteht keine Pflicht, sollte die Einordnung dokumentiert werden. Details im Beitrag NIS2-Registrierung beim BSI: Ablauf und Fristen. 03 Gap-Analyse durchführen Den eigenen Stand gegen die zehn Maßnahmenbereiche nach § 30 BSIG abgleichen. Die NIS2-Checkliste unterstützt dabei. 04 Nachweise ordnen und Verantwortung protokollieren. Wirksamkeit testen (zum Beispiel Wiederherstellung, Zugriffskontrolle) und die Rolle der Geschäftsleitung dokumentieren. Wie unterstützt Axians bei NIS2? Axians Cyber Security begleitet Unternehmen bei der Vorbereitung auf angeordnete Audits: von der Betroffenheitsprüfung über die Gap-Analyse gegen § 30 BSIG bis zur Umsetzung einzelner Nachweise wie Penetrationstests, Schwachstellenmanagement oder Identity & Access Management. Die NIS2-Beratung bündelt diese Leistungen und bietet einen Betroffenheits-Check sowie eine NIS2-Checkliste zum Download. Häufige Fragen zur NIS2-Durchsetzung Gibt es jetzt schon NIS2-Bußgelder? Aus der berichteten Ankündigung lässt sich nicht ableiten, ob bereits NIS2-Bußgelder verhängt wurden. Nach der von ChannelPartner wiedergegebenen Aussage soll die angekündigte Ansprache zunächst mit einer Anhörung beginnen. Ein Bußgeld ist kein automatischer erster Schritt, kann jedoch im weiteren Verfahren folgen. Muss ich mich registrieren, wenn das BSI mich noch nicht angeschrieben hat? Wenn Ihr Unternehmen unter die Registrierungspflicht fällt, müssen Sie sich unabhängig von einem Anschreiben des BSI registrieren. Die Registrierung muss grundsätzlich spätestens drei Monate erfolgen, nachdem die Voraussetzungen erstmals oder erneut vorliegen. Wer seine individuelle Frist versäumt hat, sollte die Registrierung nachholen. Wen trifft ein angeordnetes Audit zuerst? Eine feste Reihenfolge ergibt sich aus dem Medienbericht nicht. Nach der von ChannelPartner wiedergegebenen Aussage will das BSI im KRITIS-Bereich zunächst besonders wichtige Einrichtungen in Sektoren mit dem größten Bedarf ansprechen. Audit-Anordnungen nach § 61 Abs. 1 BSIG richten sich an einzelne besonders wichtige Einrichtungen. Reicht eine ISO-27001-Zertifizierung als Nachweis? Eine ISO-27001-Zertifizierung deckt viele, aber nicht automatisch alle Anforderungen aus § 30 BSIG ab. Wo sich NIS2 und ISO 27001 überschneiden und wo nicht, zeigt der Beitrag ISO 27001 vs. NIS2. Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen? Beide Kategorien unterliegen der NIS2-Registrierungspflicht. Sie unterscheiden sich in Größe, Sektor und im Umfang der behördlichen Aufsicht. Eine Einordnung bietet der Beitrag Wer ist von NIS2 betroffen?. Mehr zu NIS2 Was ist NIS2? Die EU-NIS2-Richtlinie einfach erklärt Wer ist von NIS2 betroffen? Ein Überblick NIS2-Registrierung beim BSI: Ablauf und Fristen NIS2-Umsetzungsgesetz (NIS2UmsuCG) im Überblick NIS2-Anforderungen: Der Maßnahmenkatalog nach § 30 BSIG NIS2-Haftung: Was Geschäftsführer jetzt wissen müssen NIS2-Checkliste: Der Guide für Verantwortliche ISO 27001 vs. NIS2 Quellen Peter Marwan: BSI will bei NIS2 ernst machen, ChannelPartner, 8.10.2026 (zitiert Tagesspiegel Background, „Wie ernst wird es jetzt?")BSI startet NIS-2-Durchsetzung: Audits folgen ab 2027, QUASA, 14.10.2026BSI-Gesetz (BSIG), insbesondere §§ 30, 33 und 61: gesetzliche Pflichten und Aufsichtsbefugnisse; aktuelle Fassung bei Gesetze im Internet.Bundesamt für Sicherheit in der Informationstechnik: NIS-2 in Zahlen, Auswertung zum 30.09.2026: offizielle Registrierungszahlen. Dieser Artikel dient der Information. Er ersetzt keine Rechtsberatung. < Zurück zur Übersicht NIS2
Kein konkret benannter Prüfkatalog für die angekündigte Initiative Der herangezogene Medienbericht nennt keinen verbindlichen Katalog der Nachweise, die bei den angekündigten Einzelanordnungen verlangt werden sollen.
Keine einheitliche Antwortfrist Eine allgemeine Frist für die Antwort auf eine Anhörung ist im Medienbericht nicht genannt.
Keine festgelegte Reihenfolge Welche Sektoren oder Einrichtungen zuerst eine Anordnung erhalten sollen, konkretisiert der Medienbericht nicht.
01 Betroffenheit prüfen Klären, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt. Der Beitrag Wer ist von NIS2 betroffen? und der Betroffenheits-Check geben Orientierung.
02 Registrierung fristgerecht abschließen Wer registrierungspflichtig ist, muss die individuelle Dreimonatsfrist nach § 33 Abs. 1 BSIG beachten und eine bereits versäumte Registrierung nachholen. Besteht keine Pflicht, sollte die Einordnung dokumentiert werden. Details im Beitrag NIS2-Registrierung beim BSI: Ablauf und Fristen.
03 Gap-Analyse durchführen Den eigenen Stand gegen die zehn Maßnahmenbereiche nach § 30 BSIG abgleichen. Die NIS2-Checkliste unterstützt dabei.
04 Nachweise ordnen und Verantwortung protokollieren. Wirksamkeit testen (zum Beispiel Wiederherstellung, Zugriffskontrolle) und die Rolle der Geschäftsleitung dokumentieren.