Frist zur NIS2 Registrierung beim BSI abgelaufen

Am 6. März 2026 lief die Registrierungsfrist für NIS2 ab. Seither ist klar: Die meisten betroffenen Unternehmen in Deutschland haben sie verpasst.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte rund 29.500 Unternehmen und Organisationen verpflichtet, sich im BSI-Portal zu registrieren. Das Ergebnis: Nur 11.500 haben es getan. Das sind knapp 39 Prozent.

Die Registrierung selbst ist in 60 Minuten erledigt. Das eigentliche Problem liegt davor – und danach. Wer sich falsch einordnet, wen die Sektorzuordnung kalt erwischt oder wer nach der Registrierung ohne funktionierende Meldeprozesse dasteht, hat ein größeres Problem als eine verpasste Frist.

Dieser Artikel legt offen, wo Unternehmen in der Praxis vor Herausforderungen stehen – und was es konkret braucht, um rechtssicher weiterzukommen.

Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Ohne Übergangsfrist. Rund 29.500 Unternehmen aus 18 Sektoren waren ab diesem Datum unmittelbar betroffen – darunter Energie, Produktion, Logistik, Chemie und Abfallwirtschaft.

Die Registrierungspflicht beim BSI war einer der ersten konkreten Pflichtschritte. Die Frist: drei Monate nach Inkrafttreten, also der 6. März 2026.

Bis dahin haben sich laut BSI rund 11.500 Einrichtungen registriert. Mehr als 18.000 Unternehmen fehlen noch immer im Portal. Noch kurz vor Fristablauf – Anfang Februar 2026 – lag die Zahl bei gerade einmal 1.900 registrierten Einrichtungen. Das entsprach weniger als zehn Prozent der Pflichtigen.

Das BSI zeigt sich nach Fristablauf kooperativ. Verstöße gelten formal als Ordnungswidrigkeit. Bußgelder sind möglich. Eine großangelegte Verfolgungswelle hat das BSI bisher nicht angekündigt – das ändert aber nichts an der Rechtslage.

Die fehlende Registrierung ist eine Ordnungswidrigkeit nach dem BSIG. Das BSI kann Bußgelder verhängen. Welche finanziellen Konsequenzen NIS2-Verstöße insgesamt nach sich ziehen können, erläutern wir im Artikel zu den NIS2-Bußgeldern und Folgen.

Schwerwiegender ist aber das operative Risiko: Wer nicht registriert ist, hat keine funktionierende Meldestelle beim BSI. Im Fall eines erheblichen Sicherheitsvorfalls muss innerhalb von 24 Stunden eine erste Meldung eingehen. Ohne Registrierung fehlt dafür die technische Grundlage. Was das im Ernstfall bedeutet, beschreiben wir im Artikel zum Umgang mit IT-Sicherheitsvorfällen unter NIS2.

Und es gibt einen dritten Aspekt, der in der Diskussion oft untergeht: die persönliche Haftung der Geschäftsleitung. Das NIS2-Umsetzungsgesetz verankert sie explizit. Wer als Verantwortlicher nachweislich keine Schritte unternommen hat, kann persönlich zur Rechenschaft gezogen werden – unabhängig davon, ob es zu einem Vorfall gekommen ist.

Die niedrige Registrierungsquote hat konkrete Ursachen. Für jede davon gibt es einen klaren Weg nach vorne.

Viele Unternehmen wissen bis heute nicht sicher, ob sie unter NIS2 fallen. Die Schwellenwerte – mindestens 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz in einem der 18 regulierten Sektoren – klingen eindeutig. In der Praxis entstehen Grenzfälle, die es in sich haben.

Ein typisches Beispiel: Ein mittelständischer Produktionsbetrieb mit 45 eigenen Mitarbeitenden hält 60 Prozent an einem Logistikunternehmen mit 30 Beschäftigten. Werden die Unternehmen konsolidiert betrachtet, überschreiten sie gemeinsam den Schwellenwert – und fallen damit unter NIS2. Wer das nicht weiß, registriert sich nicht. Und trägt das volle Haftungsrisiko.

Eine falsche Selbsteinordnung ist dabei kein reines Compliance-Problem. Das BSI-Portal nimmt auf Basis der eingetragenen Angaben eine automatische Klassifizierung vor – diese kann auf eigene Verantwortung überschrieben werden. Wer dabei unsicher ist, sollte nicht auf sein Bauchgefühl vertrauen. Die Einordnung in Sektor, Einrichtungsart und Unternehmensgröße hat direkte rechtliche Konsequenzen – für Bußgeldhöhen, Aufsichtszuständigkeiten und Haftungsfragen. Im Zweifel ist hier juristische Beratung kein Luxus, sondern Pflicht. Wer die Einordnung ohne rechtliche Absicherung trifft, trägt das volle Risiko – und das kann teurer werden als die Registrierung selbst.

Die Registrierung läuft über das BSI-Portal und erfordert zwei Dinge, die viele Unternehmen nicht parat haben: ein ELSTER-Organisationszertifikat und ein eingerichtetes „Mein Unternehmenskonto" (MUK). Wer beides nicht hat, kommt nicht in das Portal – und steckt schon vor der eigentlichen Registrierung fest.

Das ELSTER-Zertifikat wird über mein.elster.de beantragt. Der Aktivierungsbrief kommt per Post und dauert mehrere Werktage. Das MUK wird ebenfalls über ELSTER eingerichtet.

NIS2 landet in vielen Unternehmen auf dem Schreibtisch der IT-Abteilung – die ohnehin ausgelastet ist. Die Registrierung selbst ist technisch überschaubar. Die inhaltliche Vorbereitung aber nicht: Sektorzuordnung, Einrichtungsart, zuständige Aufsichtsbehörden auf Bundes- und Landesebene, korrekte Berechnung der Unternehmensgröße, Jahresumsatz, Bilanzsumme. Wer hier unvorbereitet ins Portal geht, verlässt es nach zwei Stunden ohne Ergebnis.

Das NIS2-Umsetzungsgesetz kam in Deutschland deutlich später als in anderen EU-Mitgliedstaaten. Die ursprüngliche EU-Deadline war Oktober 2024. Das deutsche Gesetz folgte erst im Dezember 2025. Viele Unternehmen haben die Verschiebungen als Signal gewertet, abzuwarten. Das war ein Fehler – und wer heute immer noch wartet, wiederholt ihn. Die Pflichten gelten. Die Frist ist abgelaufen. Weitere Aufschübe wird es nicht geben.

Wer heute noch wartet, verschlechtert seine Ausgangsposition. Nicht nur gegenüber dem BSI, sondern auch gegenüber Geschäftspartnern. NIS2 verpflichtet betroffene Unternehmen explizit dazu, die Sicherheit ihrer Lieferkette zu bewerten und zu steuern. Das bedeutet: NIS2-pflichtige Auftraggeber werden zunehmend Sicherheitsanforderungen an ihre Zulieferer stellen – vertraglich, im Einkauf und bei der Lieferantenqualifizierung. Wer als Zulieferer keine Nachweise zur eigenen Cybersicherheit erbringen kann, wird zum Risikofaktor in der Lieferkette seines Auftraggebers. Eine gesetzliche Registrierungspflicht trifft den Zulieferer dabei nur, wenn er selbst die NIS2-Schwellenwerte erfüllt – die vertragliche Realität entwickelt sich aber unabhängig davon.

Die Registrierung im BSI-Portal ist weiterhin möglich. Die folgende Checkliste basiert auf der offiziellen BSI-Schritt-für-Schritt-Anleitung.

Die abgeschlossene Registrierung bedeutet: Sie sind im System. Mehr nicht.

NIS2 verpflichtet betroffene Unternehmen zu einem umfangreicheren Maßnahmenpaket – und das rückwirkend zum ersten Tag. Der Gesetzgeber hat keine Übergangsfrist vorgesehen. Wer am 6. Dezember 2025 unter das NIS2-Umsetzungsgesetz fiel, musste Risikomanagement, Sicherheitsmaßnahmen und Meldeprozesse bereits umgesetzt haben. Die Registrierung im BSI-Portal war die einzige Pflicht mit einer eigenen Frist. Wer heute registriert, holt einen formalen Rückstand nach. Wer die inhaltlichen Maßnahmen noch nicht umgesetzt hat, hat einen deutlich größeren.

Besonders kritisch: die Meldepflicht. Innerhalb von 24 Stunden muss bei einem erheblichen Sicherheitsvorfall eine erste Meldung beim BSI eingehen. Nach 72 Stunden folgt ein detaillierter Bericht, nach 30 Tagen ein Abschlussbericht. Diese Fristen sind eng. Sie funktionieren nur, wenn die richtigen Prozesse, Verantwortlichkeiten und technischen Strukturen bereits existieren – bevor ein Vorfall eintritt. Wie Sie diese aufbauen, erläutern wir im Artikel zur NIS2-konformen Angriffserkennung und zum Reporting.

Darüber hinaus verpflichtet NIS2 zu Risikomanagement, technischen und organisatorischen Sicherheitsmaßnahmen sowie zur Absicherung der Lieferkette. Einen vollständigen Überblick über alle Anforderungen und wie wir Unternehmen bei der Umsetzung begleiten, finden Sie auf unserer NIS2-Beratungsseite.

Wer registriert ist, hat den ersten Schritt getan. Wer die nächsten Schritte nicht plant, steht beim nächsten Sicherheitsvorfall ohne Antworten da – und das, unter Zeitdruck, ist der teuerste Moment.