NIS2-Registrierung beim BSI verpasst? Was nach Ablauf der Fristen jetzt gilt

Seit dem 6. Dezember 2025 gilt in Deutschland das neue BSI-Gesetz, mit dem die NIS2-Richtlinie umgesetzt wurde. Eine der ersten Pflichten war zugleich die einfachste: sich beim BSI registrieren. Trotzdem fehlt bis heute ein großer Teil der betroffenen Unternehmen im Register. Nach Zahlen, die im Sommer kursierten, hatten sich bis Ende Juni rund 17.700 von geschätzt 29.500 Einrichtungen gemeldet. Wenn Ihr Unternehmen zu den übrigen gehört, ist das ärgerlich, aber kein Grund, das Thema weiter liegen zu lassen.

Welche Fristen abgelaufen sind

• 6. März 2026: Ende der gesetzlichen Registrierungsfrist nach § 33 BSIG, drei Monate nach Inkrafttreten.
• 31. Juli 2026: Ende der Nachfrist, die das BSI den Verbänden in Aussicht gestellt hatte. Diese Nachfrist war ein Entgegenkommen der Behörde, keine Verlängerung im Gesetz.
• Heute: Das Registrierungsportal ist weiterhin offen. Eine verspätete Registrierung ist möglich und ausdrücklich sinnvoll.

Was ohne Registrierung droht

Die fehlende oder verspätete Registrierung ist ein eigener Bußgeldtatbestand. § 65 BSIG sieht dafür bis zu 500.000 Euro vor. Die großen Bußgeldrahmen von bis zu 10 Millionen Euro beziehungsweise 2 Prozent des weltweiten Jahresumsatzes betreffen dagegen Verstöße beim Risikomanagement und bei Meldepflichten.

Das BSI hat signalisiert, verspätete Registrierungen zunächst nicht zu sanktionieren. Das gilt aber erkennbar für Unternehmen, die nachziehen. Wer nach einem Sicherheitsvorfall auffällt und dann weder registriert ist noch Maßnahmen dokumentieren kann, steht deutlich schlechter da als jemand, der im Oktober eben noch nachgemeldet hat.

So läuft die Nachregistrierung

1. Betroffenheit klären. Betroffen sind in der Regel mittlere und große Unternehmen in den Sektoren der Anlagen 1 und 2 zum BSIG, also grob ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Das BSI bietet dafür eine kostenlose Betroffenheitsprüfung an; einen schnellen Überblick gibt auch unser NIS-2-Selbstcheck.
2. ELSTER-Organisationszertifikat besorgen. Der Zugang zum BSI-Portal läuft über „Mein Unternehmenskonto“, das auf ELSTER aufsetzt. Die Beantragung dauert einige Werktage, deshalb sollte dieser Schritt zuerst angestoßen werden.
3. Registrieren. Im Portal werden Stammdaten, Sektor, Einrichtungsart und erreichbare Kontaktstellen hinterlegt.
4. Dokumentieren. Die Registrierungsbestätigung gehört zur Geschäftsleitung und in die Compliance-Unterlagen. Sie ist der erste Nachweis, dass das Unternehmen seine NIS2-Pflichten ernst nimmt.

Danach beginnt die eigentliche Arbeit

Die Registrierung ist nur der Eintritt. Mit ihr greifen sofort die Pflichten, die im Ernstfall wirklich zählen:

• Risikomanagement nach § 30 BSIG: dokumentierte Risikoanalyse, Notfall- und Backup-Konzept, Multi-Faktor-Authentifizierung, Umgang mit Sicherheitsvorfällen, Sicherheit in der Lieferkette, Kryptografie-Regeln.
• Meldepflichten nach § 32 BSIG: erste Meldung erheblicher Vorfälle innerhalb von 24 Stunden, Bewertung nach 72 Stunden, Abschlussbericht nach einem Monat.
• Leitungspflichten nach § 38 BSIG: Die Geschäftsleitung billigt und überwacht die Maßnahmen, nimmt regelmäßig an Schulungen teil und haftet bei Pflichtverletzungen gegenüber dem eigenen Unternehmen. Mehr dazu in unserem Beitrag zur Schulungspflicht der Geschäftsleitung.

Ein realistischer Zeitplan für Nachzügler: Registrierung in den nächsten zwei Wochen, Meldeprozess und Notfallkontakte innerhalb eines Monats, Risikoanalyse und Maßnahmenplan bis zum Jahresende. Wer so vorgeht, hat im Fall einer Prüfung eine nachvollziehbare Geschichte zu erzählen.

Die Details zu den einzelnen Anforderungen, zur Einordnung als wichtige oder besonders wichtige Einrichtung und zur Umsetzung im Mittelstand haben wir auf unserem Fachportal zusammengestellt: NIS2-Beratung für Unternehmen und NIS2-Anforderungen nach dem neuen BSIG.