NIS2-Registrierung verpasst? Was Unternehmen jetzt tun sollten

Ablauf der Registrierungsfrist und der Schonfrist

Gemäß § 33 BSIG sind besonders wichtige und wichtige Einrichtungen dazu verpflichtet, sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI zu registrieren. Für Unternehmen, die bereits bei Inkrafttreten des Gesetzes betroffen waren, endete die Frist nach Angaben des BSI am 6. März 2026. Das Gesetz sieht keine allgemeine Übergangsfrist vor, worauf das BSI in seinen FAQ zu NIS-2 ausdrücklich hinweist.

Da sich viele betroffene Unternehmen noch nicht registriert hatten, räumte das BSI Nachzüglern nach Angaben der IHK eine Frist bis zum 31. Juli 2026 ein. Auch diese Schonfrist ist inzwischen abgelaufen. Auf der Seite für NIS-2-regulierte Unternehmen des BSI wird darauf hingewiesen, dass die gesetzliche Frist abgelaufen ist; die Betroffenen werden aufgefordert, sich umgehend zu registrieren.

Die genaue Anzahl der fehlenden Registrierungen lässt sich nicht bestimmen, da die Zahl der betroffenen Einrichtungen auf einer Schätzung beruht. Im Januar ging das BSI von rund 29.500 betroffenen Unternehmen und Einrichtungen aus. Gemäß der Statistik des BSI hatten sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen registriert. Selbst bei einer zu hohen Schätzung fehlen bei vorsichtiger Rechnung mehrere Tausend Registrierungen.

Betroffene Unternehmen

Gemäß § 28 BSIG bestimmt sich nach zwei Kriterien, ob ein Unternehmen unter NIS2 fällt. Das Unternehmen muss in einem der in den Anlagen 1 und 2 des Gesetzes aufgeführten Sektoren tätig sein. Zudem muss es eine Mindestgröße von 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro erreichen. Ein Unternehmen aus Anlage 1 gilt ab 250 Beschäftigten oder einem Umsatz von mehr als 50 Millionen Euro und einer Bilanzsumme von mehr als 43 Millionen Euro als besonders wichtige Einrichtung und unterliegt strengeren Regeln.

In der Regel werden mit NIS2 zunächst Sektoren wie Energie, Wasser und Krankenhäuser assoziiert. Für Baden-Württemberg ist Anlage 2 von größerer Bedeutung, da sie große Teile der Industrie erfasst. Hierzu gehören der Maschinenbau, die Herstellung elektrischer Ausrüstungen, von Kraftwagen und Kraftwagenteilen, von Datenverarbeitungsgeräten und elektronischen Erzeugnissen, der sonstige Fahrzeugbau und die Herstellung von Medizinprodukten. Die Einordnung erfolgt dabei maßgeblich nach der Wirtschaftszweig-Systematik NACE Rev. 2. In der BSI-Statistik bildet das verarbeitende Gewerbe mit 4.739 Registrierungen bereits jetzt die größte Gruppe unter den Sektoren der Anlage 2.

Bei der Prüfung wird häufig übersehen, dass bei der Bestimmung der Größe grundsätzlich auch Beschäftigte und Umsätze von Partner- und verbundenen Unternehmen zu berücksichtigen sind. Eine Ausnahme besteht nur, wenn das Unternehmen hinsichtlich seiner IT von der Gruppe unabhängig ist (§ 28 Abs. 4 BSIG). Eine kleine Tochtergesellschaft eines großen Konzerns ist daher nicht ohne Weiteres vom Anwendungsbereich ausgenommen. Ebenso häufig wird übersehen, dass bei der Zuordnung zu einem Sektor Tätigkeiten außer Betracht bleiben dürfen, die für die gesamte Geschäftstätigkeit vernachlässigbar sind (§ 28 Abs. 3 BSIG). Das Unternehmen sollte prüfen, ob dies zutrifft, und das Ergebnis schriftlich festhalten.

Das BSI bietet eine kostenlose NIS-2-Betroffenheitsprüfung an. Sie ist ein geeigneter Einstieg, ersetzt jedoch keine Prüfung im Einzelfall, insbesondere bei Konzernstrukturen oder Mischbetrieben. Ich empfehle, das Ergebnis stets schriftlich festzuhalten, auch wenn es „nicht betroffen“ lautet. Sollte das BSI zu einem späteren Zeitpunkt Nachfragen haben, kann diese Notiz belegen, dass sich das Unternehmen ernsthaft mit der Thematik befasst hat.

Folgen einer versäumten Registrierung

Sollten Unternehmen ihre Registrierung nicht rechtzeitig durchführen, handeln sie ordnungswidrig. Bei vorsätzlichem Handeln droht eine Geldbuße von bis zu 500.000 Euro, bei fahrlässigem Verhalten von bis zu 250.000 Euro. Die rechtliche Grundlage hierfür bilden § 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG sowie § 17 Abs. 2 OWiG. Zudem ist das BSI befugt, die Registrierung selbst vorzunehmen sowie Unterlagen und Auskünfte zu verlangen, wenn Tatsachen auf eine versäumte Registrierung hindeuten (§ 33 Abs. 3 und 4 BSIG).

Schwerer wiegen die Pflichten, die unabhängig von der Registrierung gelten. Betroffene Unternehmen sind verpflichtet, Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und zu dokumentieren. Dies umfasst unter anderem die Risikoanalyse, Backups, Notfallpläne und die Multi-Faktor-Authentifizierung. Fehlen diese Maßnahmen, drohen Geldbußen von bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen. Bei sehr großen Unternehmen kann sich der Bußgeldrahmen auch nach einem Anteil am weltweiten Jahresumsatz bemessen.

Die Geschäftsleitung trägt dabei eine persönliche Verantwortung. Gemäß § 38 BSIG hat sie die Maßnahmen umzusetzen, deren Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Im Falle einer schuldhaften Verletzung dieser Pflichten haftet sie dem Unternehmen für den entstandenen Schaden nach den Vorschriften des jeweiligen Gesellschaftsrechts. Bei einer GmbH haftet der Geschäftsführer der Gesellschaft gegenüber.

Rechne ich mit Bußgeldern? Das BSI hat bisher vor allem Informationsarbeit geleistet und Nachzüglern Zeit gegeben. Ich gehe davon aus, dass das BSI die Pflichten mittelfristig auch durchsetzen wird. Spätestens bei einem meldepflichtigen Sicherheitsvorfall stellt sich die Frage, ob das betroffene Unternehmen registriert war und ob es seine Pflichten kannte.

Überschneidungen mit dem Datenschutzrecht

Für Unternehmen, die bereits über eine funktionierende Datenschutzorganisation verfügen, ist NIS2 kein Novum. Die Maßnahmen nach § 30 BSIG decken sich in weiten Teilen mit den technischen und organisatorischen Maßnahmen, die Art. 32 DSGVO ohnehin verlangt. Ein bestehendes Datenschutzkonzept kann deshalb als Grundlage für die NIS2-Maßnahmen herangezogen werden.

Besondere Herausforderungen entstehen bei Sicherheitsvorfällen, da ein Angriff auf die IT oft auch eine Datenpanne bedeutet. In diesem Fall bestehen zwei Meldepflichten nebeneinander. Im Falle eines erheblichen Sicherheitsvorfalls sind dem BSI eine frühe Erstmeldung innerhalb von 24 Stunden sowie eine Meldung innerhalb von 72 Stunden zu übermitteln (§ 32 BSIG). Gemäß Art. 33 DSGVO ist die Verletzung unverzüglich, d. h. ohne schuldhaftes Zögern, und möglichst innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde zu melden. Da sich die Empfänger, Inhalte und Fristen unterscheiden, sollte der Ablauf für beide Meldungen bereits vor dem Ernstfall feststehen. Der Beitrag Datenpanne nach DSGVO: Was in den ersten 72 Stunden zu tun ist erläutert den Ablauf der Meldung an die Datenschutzaufsicht.

Hat die Datenschutzaufsicht für einen Verstoß bereits eine Geldbuße verhängt, darf für dasselbe Verhalten keine weitere Geldbuße nach dem BSI-Gesetz verhängt werden (§ 65 Abs. 11 BSIG). Die Melde- und Sicherheitspflichten aus beiden Gesetzen gelten jedoch weiterhin nebeneinander.

Empfehlungen für Unternehmen

Für Unternehmen ergeben sich daraus folgende Empfehlungen:

1. Die Betroffenheit sollte geprüft und das Ergebnis dokumentiert werden. Dazu gehören die Zuordnung zum Sektor nach NACE Rev. 2 und die Ermittlung der Unternehmensgröße, bei Unternehmensgruppen einschließlich der verbundenen Unternehmen.
2. Betroffene Unternehmen sollten sich unverzüglich registrieren. Die Pflicht zur Registrierung besteht unabhängig davon, ob ein Schreiben des BSI eingeht. Zunächst ist über „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat zu beantragen. Im Anschluss erfolgt die Registrierung im BSI-Portal. Sollten sich die Angaben ändern, ist das BSI unverzüglich darüber zu informieren, spätestens innerhalb von zwei Wochen, nachdem das Unternehmen von der Änderung Kenntnis erlangt hat (§ 33 Abs. 5 BSIG).
3. Die Geschäftsleitung sollte eine entsprechende Schulung erhalten, und ihre Teilnahme sollte dokumentiert werden. Das BSI hat im April 2026 Hinweise zu Geschäftsleitungsschulungen veröffentlicht.
4. Für Sicherheitsvorfälle sollte ein gemeinsamer Ablauf festgelegt werden, der die Meldepflicht gegenüber dem BSI und die Meldepflicht nach der DSGVO in einem Schritt prüft.
5. Die Risikomanagementmaßnahmen sollten auf den bereits implementierten Datenschutzmaßnahmen aufbauen, anstatt ein zweites, getrenntes System einzuführen. Eine Zertifizierung nach ISO 27001 ist in diesem Zusammenhang ein hilfreiches Instrument. Das BSI weist jedoch darauf hin, dass diese den gesetzlichen Katalog nicht automatisch vollständig abdeckt.