NIS-2-Registrierung: Was Unternehmen jetzt prüfen müssen

  • Betroffenheit zuerst klären: Branche, Tätigkeit, Unternehmensgröße und gesetzliche Sonderregeln entscheiden über die Registrierungspflicht.
  • Fristen individuell prüfen: Für bereits seit dem 6. Dezember 2025 betroffene Einrichtungen ist die reguläre Dreimonatsfrist abgelaufen. Später betroffene Unternehmen haben einen eigenen Fristbeginn.
  • Registrierung vollständig abschließen: Ein Benutzerkonto allein erfüllt noch nicht die Pflicht zur Übermittlung der Unternehmensangaben.
  • Geschäftsleitung einbinden: Sicherheitsorganisation, Überwachung und regelmäßige Schulungen gehören zu den gesetzlichen Aufgaben der Leitung betroffener Einrichtungen.

Ein Portalzugang ist eingerichtet, die IT arbeitet an einem Sicherheitskonzept – aber wer hat geprüft, ob das Unternehmen seine NIS-2-Registrierung tatsächlich abgeschlossen hat? Gerade im Mittelstand verteilen sich die erforderlichen Informationen auf Geschäftsführung, Finanzen und IT. Dadurch können Zuständigkeiten und Fristen aus dem Blick geraten.

Für Geschäftsführungen mittelständischer Unternehmen lautet die entscheidende Frage deshalb: Ist unsere Betroffenheit nachvollziehbar geprüft und eine erforderliche Registrierung vollständig erledigt?

Das Bundesamt für Sicherheit in der Informationstechnik stellt hierfür das BSI-Portal bereit. Die Behörde bestätigt, dass die NIS-2-Registrierung über dieses Portal erfolgt. Maßgeblich für die Pflicht bleibt jedoch das Gesetz. BSI: Informationen zur NIS-2-Registrierung

Wer sich registrieren muss

Das BSI-Gesetz, kurz BSIG, unterscheidet zwischen „wichtigen“ und „besonders wichtigen“ Einrichtungen. Diese Begriffe bezeichnen gesetzliche Kategorien mit unterschiedlichen Anforderungen an die Aufsicht.

Bei vielen Unternehmen kommt eine Einstufung als wichtige Einrichtung in Betracht, wenn sie einer erfassten Einrichtungsart angehören und mindestens 50 Mitarbeiter beschäftigen oder sowohl einen Jahresumsatz als auch eine Jahresbilanzsumme von jeweils über zehn Millionen Euro aufweisen. Die Mitarbeiterzahl allein entscheidet also nicht.

Für bestimmte Anbieter bestehen Sonderregeln, teilweise unabhängig von diesen Größenwerten. Auch Unternehmensverbindungen und sektorspezifische Ausnahmen können die Prüfung beeinflussen. Grundlage sind § 28 BSIG und die dort genannten Anlagen.

Praktischer Tipp: Halten Sie schriftlich fest, welche Tätigkeiten Sie geprüft haben, welche Unternehmensdaten zugrunde liegen und weshalb Sie eine bestimmte Einstufung annehmen. Eine pauschale Aussage wie „Wir sind kein KRITIS-Unternehmen“ reicht als Prüfung nicht aus.

Bei rechtlichen Abgrenzungsfragen kann eine Beratung im IT-Recht helfen, die tatsächlichen Leistungen des Unternehmens den gesetzlichen Kategorien zuzuordnen.

Welche Registrierungsfrist gilt

Nach § 33 Absatz 1 BSIG müssen registrierungspflichtige Einrichtungen ihre Angaben spätestens drei Monate nach dem erstmaligen oder erneuten Eintritt der gesetzlichen Voraussetzungen übermitteln.

Für Unternehmen, die bereits mit Inkrafttreten der Neuregelung am 6. Dezember 2025 erfasst waren, endete die reguläre Frist am 6. März 2026. Wird ein Unternehmen erst später erfasst, beginnt seine Dreimonatsfrist entsprechend später. Der Zeitpunkt der Portalöffnung ist hierfür nicht entscheidend. § 33 Absatz 1 BSIG; NIS-2-Anlaufstelle NRW: Registrierungsfrist

Fehlt eine erforderliche Registrierung, sollten Sie die Übermittlung jetzt nachholen und die Ursache der Verzögerung dokumentieren. Eine verspätete Registrierung beseitigt einen möglichen früheren Verstoß nicht automatisch. Sie schafft aber die Grundlage dafür, die Pflicht künftig ordnungsgemäß zu erfüllen.

Warten Sie mit der Registrierung nicht darauf, dass sämtliche Sicherheitsmaßnahmen fertig umgesetzt sind. Organisieren Sie beide Aufgaben parallel.

Registrierung sorgfältig vorbereiten

Legen Sie vor Beginn fest, wer die Angaben zusammenträgt, wer sie fachlich prüft und wer die Übermittlung verantwortet. Die IT kennt die technischen Daten; Rechtsform, Registerangaben und Unternehmensstruktur liegen häufig bei anderen Stellen.

Zu den gesetzlichen Registrierungsangaben gehören insbesondere:

  • Name, Rechtsform und gegebenenfalls Handelsregisternummer;
  • Anschrift, Kontaktdaten und öffentliche IP-Adressbereiche;
  • einschlägiger Sektor beziehungsweise Branche;
  • EU-Mitgliedstaaten, in denen die erfassten Dienste erbracht werden;
  • zuständige Aufsichtsbehörden.

Änderungen dieser Angaben sind unverzüglich, spätestens binnen zwei Wochen nach Kenntnis, zu übermitteln. § 33 Absätze 1 und 5 BSIG

Bereiten Sie auch den organisatorischen Zugang vor. „Mein Unternehmenskonto“ verwendet ELSTER-Organisationszertifikate; bei einer Neubeantragung sind Aktivierungsschritte einschließlich Postversand zu berücksichtigen. Prüfen Sie vorhandene Zertifikate und die aktuellen Zugangshinweise des BSI-Portals rechtzeitig. Mein Unternehmenskonto: Hilfe zur Registrierung

Speichern Sie nach Abschluss die übermittelten Angaben und den verfügbaren Übermittlungsnachweis. Ein eingerichtetes Konto oder ein gespeicherter Entwurf belegt noch keine vollständige Übermittlung.

Sicherheitsprozesse parallel organisieren

Die Registrierung ersetzt weder Risikomanagement noch Vorfallmeldungen. Soweit die allgemeinen BSIG-Pflichten für Ihre Einrichtung gelten, müssen geeignete und wirksame technische sowie organisatorische Maßnahmen umgesetzt und dokumentiert werden.

Dazu gehören unter anderem Risikoanalyse, Behandlung von Sicherheitsvorfällen, Wiederherstellung nach Ausfällen und Sicherheit der Lieferkette. Für erhebliche Sicherheitsvorfälle sieht das Gesetz grundsätzlich eine frühe Erstmeldung spätestens innerhalb von 24 Stunden und eine weitere Meldung spätestens innerhalb von 72 Stunden nach Kenntnis vor; beide müssen unverzüglich erfolgen. Die Abschlussmeldung folgt grundsätzlich innerhalb eines Monats nach der weiteren Meldung. Für andauernde Vorfälle gelten besondere Regeln. §§ 30 und 32 BSIG

Für die praktische Umsetzung sollten Sie klären:

  1. Wer bewertet einen Vorfall und entscheidet über eine Meldung?
  2. Wer kann die Meldung auch bei Abwesenheit der üblichen Kontaktperson abgeben?
  3. Welche Informationen liefern externe IT-Dienstleister?
  4. Wo werden Entscheidungen und Maßnahmen dokumentiert?
  5. Wie funktioniert der Ablauf, wenn zentrale Systeme ausfallen?

Prüfen Sie bei Dienstleisterverträgen insbesondere Informationswege, vereinbarte Reaktionszeiten und Unterstützung im Sicherheitsvorfall. Ein Vertrags-Check kann aufdecken, ob Ihre vertraglichen Abläufe die erforderliche Reaktionsfähigkeit unterstützen.

Geschäftsleitung bleibt verantwortlich

§ 38 BSIG verpflichtet Geschäftsleitungen der erfassten wichtigen und besonders wichtigen Einrichtungen, die vorgeschriebenen Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Hinzu kommt die Pflicht zur regelmäßigen Schulung. Die gesetzlichen Ausnahmen für bestimmte Einrichtungen sind dabei zu beachten.

Bei schuldhafter Pflichtverletzung und einem dadurch verursachten Schaden kann eine Haftung gegenüber der eigenen Einrichtung entstehen. Maßgeblich sind insbesondere die gesellschaftsrechtlichen Regeln für deren Rechtsform. § 38 BSIG

Für die Geschäftsführung empfiehlt sich deshalb eine regelmäßige, dokumentierte Befassung: Welche wesentlichen Risiken bestehen? Welche Maßnahmen sind offen? Wer verantwortet die Umsetzung? Welche Mittel werden benötigt?

Eine Aufgabenverteilung an IT und externe Dienstleister sollte klare Berichts- und Eskalationswege enthalten.

Registrierung versäumt: Folgen prüfen

Eine vorsätzlich oder fahrlässig unterlassene, unrichtige, unvollständige oder verspätete Übermittlung der Registrierungsangaben kann eine Ordnungswidrigkeit darstellen. Für diesen Tatbestand sieht das BSIG einen Bußgeldrahmen von bis zu 500.000 Euro vor. Das ist ein gesetzlicher Höchstbetrag; die tatsächliche Sanktion hängt vom Einzelfall ab. § 65 Absatz 2 Nummer 6 und Absatz 5 Satz 1 Nummer 5 BSIG

Die praktische Konsequenz: Prüfen Sie den Registrierungsstatus, beheben Sie festgestellte Lücken und sorgen Sie dafür, dass Datenänderungen künftig rechtzeitig weitergegeben werden.

Fazit: Status und Zuständigkeiten klären

Unternehmen sollten ihre Betroffenheit, den Fristbeginn und den Abschluss einer erforderlichen NIS-2-Registrierung nachvollziehbar dokumentieren. Ebenso wichtig sind erreichbare Verantwortliche und funktionierende Abläufe für Sicherheitsvorfälle.

Die anwaltskanzlei schutt unterstützt Unternehmen bei der rechtlichen Einordnung ihrer Pflichten und der Prüfung zugehöriger Prozesse und IT-Verträge. Für eine auf Ihr Unternehmen abgestimmte Prüfung nehmen Sie Kontakt zur anwaltskanzlei schutt auf.

Häufige Fragen zur NIS-2-Registrierung

Müssen auch Unternehmen mit weniger als 50 Mitarbeitern ihre Betroffenheit prüfen?

Ja. Finanzielle Schwellenwerte oder Sonderregeln für bestimmte Einrichtungsarten können relevant sein. Weniger als 50 Mitarbeiter schließen die Betroffenheit nicht automatisch aus. § 28 BSIG

Beginnt die Frist erst, wenn die Geschäftsführung von der Betroffenheit erfährt?

§ 33 Absatz 1 BSIG knüpft an den Eintritt der gesetzlichen Voraussetzungen an. Eine erst später durchgeführte interne Prüfung verschiebt diesen Zeitpunkt nicht automatisch. § 33 BSIG

Müssen öffentliche IP-Adressbereiche angegeben werden?

Ja, sie gehören zu den Angaben nach § 33 Absatz 1 BSIG. Lassen Sie die Daten von den technisch zuständigen Personen zusammentragen und prüfen. § 33 BSIG

Kann ein externer IT-Dienstleister die Vorbereitung übernehmen?

Ein Dienstleister kann Informationen zusammentragen und organisatorisch unterstützen. Klären Sie Berechtigungen, Prüfung und Übermittlung ausdrücklich. Die gesetzlichen Leitungspflichten nach § 38 BSIG bleiben für die erfassten Geschäftsleitungen bestehen. § 38 BSIG

Sind NIS-2-Registrierung und Registrierung kritischer Anlagen identisch?

Nein. § 33 Absatz 2 BSIG verweist für die Registrierung kritischer Anlagen auf § 8 des KRITIS-Dachgesetzes. Betroffene Betreiber müssen diese zusätzliche Einordnung gesondert prüfen. § 33 Absatz 2 BSIG

Quellen