NIS-2-Registrierung bis 31. Juli 2026: Was Unternehmen jetzt beachten sollten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Frist für die NIS-2-Registrierung gesetzt: Bis zum 31. Juli 2026 sollen alle betroffenen Unternehmen ihren Status geklärt und die Registrierung abgeschlossen haben. Der Hintergrund ist deutlich: Von rund 30.000 betroffenen Einrichtungen in Deutschland hat sich bis Ende Mai 2026 erst gut die Hälfte registriert. Für alle, die die ursprüngliche Frist verpasst haben, ist das die Gelegenheit, den Rückstand aufzuholen.

Was hinter der neuen NIS-2-Frist steckt

Seit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025 gelten für deutlich mehr Unternehmen erstmals gesetzliche Cybersicherheitspflichten. Die gesetzliche Registrierungsfrist endete bereits am 6. März 2026, drei Monate nach Inkrafttreten. Das Registrierungsportal des BSI steht seit dem 6. Januar 2026 zur Verfügung.

Die Realität blieb hinter den Erwartungen zurück. Zum Ablauf der gesetzlichen Frist hatten sich nur etwa 11.500 Einrichtungen registriert. Bis Ende Mai stieg die Zahl auf knapp 18.500. Damit fehlten weiterhin etwa 10.500 Organisationen. In einem Schreiben an die Wirtschaftsverbände hat das BSI daraufhin kommuniziert, dass es die vollständige Umsetzung bis zum 31. Juli 2026 erwartet.

Wichtig: Die Nachfrist ist keine echte Fristverlängerung

Ein Punkt ist entscheidend: Der 31. Juli 2026 ist kein neuer gesetzlicher Stichtag, sondern ein Zeichen von Nachsicht bei der Durchsetzung. Rechtlich war die Registrierung bereits am 6. März 2026 fällig. Wer sie versäumt hat, befindet sich seither im Verzug. Die Registrierungspflicht nach dem BSI-Gesetz bleibt unverändert bestehen.

Die Nachfrist verschafft also Zeit, hebt aber die ursprüngliche Pflicht nicht rückwirkend auf. Für Unternehmen bedeutet das: Die Registrierung jetzt nachzuholen, ist der richtige und notwendige Schritt. Sie signalisiert dem BSI, dass Sie Ihre Betroffenheit erkannt haben und aktiv handeln.

Wer ist von NIS-2 betroffen?

Die NIS-2-Richtlinie reicht deutlich über die klassischen KRITIS-Branchen hinaus. Betroffen ist heute ein weit größerer Kreis von Unternehmen als früher, und viele davon haben bislang gar nicht damit gerechnet. Am Anfang steht deshalb die NIS-2-Betroffenheitsprüfung: Sie klärt anhand von zwei Fragen, ob Ihr Unternehmen unter die Regelung fällt - in welchem Sektor Sie tätig sind und welche Größe Sie erreichen.

Sektoren und Schwellenwerte

Maßgeblich sind zunächst der Sektor und die Unternehmensgröße. In der Regel fällt eine Einrichtung unter NIS-2, wenn sie in einem der 18 regulierten Sektoren tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme aufweist.

Die Sektoren sind breit gefasst. Sie reichen von Energie, Verkehr und Trinkwasser über das Gesundheits-, Finanz- und Versicherungswesen bis hin zu digitaler Infrastruktur, öffentlicher Verwaltung, Abwasser, Post- und Kurierdiensten sowie der Lebensmittelproduktion. Wer bislang nie im Umfeld kritischer Infrastrukturen unterwegs war, sollte deshalb nicht vorschnell davon ausgehen, außen vor zu sein.

„Besonders wichtige" oder „wichtige Einrichtung" - wo der Unterschied liegt

Das durch die NIS-2-Richtlinie angepasste BSI-Gesetz (BSIG) teilt die betroffenen Unternehmen in zwei Kategorien ein, und diese Zuordnung hat konkrete Folgen. Ausschlaggebend sind vor allem zwei Faktoren: die Größe des Unternehmens und die Kritikalität des Sektors.

Als besonders wichtige Einrichtung gelten in der Regel große Unternehmen in den Sektoren hoher Kritikalität (Anlage 1) - also jenen Bereichen, deren Ausfall die Gesellschaft am unmittelbarsten treffen würde, wie Energie, Verkehr, Finanzwesen oder Gesundheit. Gemeint sind Einrichtungen mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme. Darüber hinaus, werden Betreiber kritischer Anlagen (KRITIS-Betreiber) immer als besonders wichtige Einrichtungen kategorisiert.

Als wichtige Einrichtungen gelten die übrigen betroffenen Unternehmen, die die grundlegenden Schwellenwerte erreichen. Dazu zählen kleine und mittelgroße Unternehmen in den Sektoren der Anlagen 1 und 2 sowie große Unternehmen in den sonstigen kritischen Sektoren. Diese sind in Anlage 2 aufgeführt und umfassen Bereiche wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und das verarbeitende Gewerbe. Als Schwellenwerte werden 50 Mitarbeiter oder eine Umsatz und Bilanzsumme über 10 Millionen Euro angegeben.

Von dieser Einordnung hängt ab, wie eng das BSI die Einrichtungen beaufsichtigt und wie hoch mögliche Bußgelder ausfallen. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht, während wichtige Einrichtungen anlassbezogen geprüft werden. Die Anforderungen an das Risikomanagement und die Meldepflichten gelten jedoch für beide Kategorien gleichermaßen.

Wenn Sie unsicher sind, ob Ihr Unternehmen betroffen ist, bietet das BSI mit einer unverbindlichenOnline-Prüfung eine erste Orientierung. Eine abschließende und belastbare Einschätzung kann jedoch nur eine rechtliche Betroffenheitsprüfung liefern. Wir unterstützen Sie dabei mit einem RechtlichenGutachtenzurNIS2-BetroffenheitdurcheinenFachanwalt

Die drei zentralen NIS-2-Pflichten

Mit der Betroffenheit entstehen drei eng miteinander verknüpfte Pflichten. Sie bauen aufeinander auf und lassen sich nicht einzeln abhaken.

Registrierungspflicht

„Besonders wichtige" und „wichtige" Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals betroffen sind, beim BSI registrieren. Ändern sich die gemeldeten Daten, müssen diese unverzüglich, spätestens jedoch innerhalb von zwei Wochen, über das BSI-Portal übermittelt werden.

Meldepflicht

Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden, und zwar in gestaffelten Fristen: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine ausführlichere Meldung innerhalb von 72 Stunden und eine Abschlussmeldung innerhalb von 30 Tagen. Die Meldung enthält eine Bewertung des Vorfalls, die dessen Schweregrad, Auswirkungen und Kompromittierungsindikatoren umfasst.

Risikomanagement implementieren und dokumentieren

Im Zentrum steht das Risikomanagement. Unternehmen müssen geeignete, verhältnismäßige und wirksame technische wie organisatorische Maßnahmen ergreifen und dokumentieren. Das BSI-Gesetz benennt dafür mindestens zehn Bereiche, die sich auf eine einfache Leitfrage zurückführen lassen: Bleibt Ihr Unternehmen handlungsfähig, wenn etwas passiert?

Konkret heißt das, Risiken zu kennen, bevor sie eintreten, und die Wirksamkeit der eigenen Maßnahmen regelmäßig zu überprüfen. Es heißt, im Ernstfall reaktionsfähig zu bleiben, durch belastbare Incident-Response-Prozesse, Notfallpläne und ein funktionierendes Krisenmanagement, das den Betrieb aufrechterhält. Es heißt, die eigenen Zugänge und Daten technisch abzusichern, etwa über Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Und es heißt, den Blick über die eigenen Systeme hinaus zu weiten, denn NIS-2 nimmt ausdrücklich auch die Sicherheit der Lieferkette und die eigenen Mitarbeitenden in die Pflicht.

Entscheidend ist dabei: Die Verantwortung für die Umsetzung und Überwachung dieser Maßnahmen liegt ausdrücklich bei der Geschäftsleitung.

Sektorale Sonderregelungen

Für Unternehmen in bestimmten Sektoren, insbesondere im Finanzwesen, in der Telekommunikation und in der Energieversorgung, sowie für Betreiber kritischer Anlagen gelten zusätzliche sektorale Anforderungen, Ausnahmen und Verpflichtungen.

So funktioniert die NIS-2-Registrierung Schritt für Schritt

Die Registrierung läuft in einem zweistufigen Verfahren ab. Voraussetzung ist eine deutsche Steuernummer, über die das benötigte ELSTER-Organisationszertifikat beantragt wird. Für dieses Zertifikat sollten Sie mehrere Werktage Vorlauf einplanen, da die Beantragung Zeit in Anspruch nimmt. Wer das früh vorbereitet, gerät später nicht unnötig unter Zeitdruck.

Schritt 1: Registrierung bei „Mein Unternehmenskonto" (MUK)

Der erste Schritt führt über den digitalen Dienst „Mein Unternehmenskonto" (MUK), der auf der bewährten ELSTER-Technologie basiert und als zentraler Zugang zu digitalen Verwaltungsleistungen dient. Der erste Nutzer übernimmt dabei die Rolle des Verwalters, kann weitere Personen einladen und Rollen vergeben.

Schritt 2: Registrierung im BSI-Portal

Darauf folgt die verpflichtende Registrierung im BSI-Portal. Erfasst werden unter anderem Name und Anschrift der Einrichtung, Rechtsform, Sektor und Einrichtungsart, Unternehmensgröße, die zuständigen Aufsichtsbehörden, eine NIS-2-Kontaktstelle und eine Kontaktperson sowie öffentlich erreichbare IP-Adressbereiche. Dasselbe Portal dient später als zentrale Meldestelle für erhebliche Sicherheitsvorfälle.

Welche Sanktionen bei Versäumnissen drohen

Mit NIS-2 wird Cybersicherheit ausdrücklich auf der Führungsebene verankert, was spürbare Konsequenzen nach sich zieht. Für eine unterlassene Registrierung sieht das Gesetz Bußgelder von bis zu 500.000 Euro vor. Bei Verstößen gegen die Risikomanagement- und Meldepflichten fallen die möglichen Sanktionen deutlich höher aus und richten sich nach der Kategorie: bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent.

Hinzu kommt die persönliche Verantwortung der Geschäftsleitung. Führungskräfte sind unmittelbar für Umsetzung und Überwachung der Sicherheitsmaßnahmen zuständig und können bei Pflichtverletzungen persönlich in die Verantwortung genommen werden.

Registrierung ist nur der erste Schritt

Die Registrierung belegt zunächst nur, dass ein Unternehmen seine Betroffenheit erkannt hat. Danach beginnt die eigentliche Arbeit: Risikomanagement, Incident-Response-Prozesse, Lieferkettensicherheit und belastbare Meldewege müssen aufgebaut, dokumentiert und im Ernstfall nachgewiesen werden. Um dies anhand eines geregelten Prozesses umzusetzen ist die Einführung eines sog. Informationssicherheitsmanagementsystems (ISMS) zu empfehlen. Wir unterstützen und begleiten Sie gerne dabei. Weitere Informationen dazu finden Sie hier .

All das lässt sich nicht innerhalb weniger Wochen vollständig umsetzen. In der verbleibenden Zeit lässt sich jedoch klären, wo Ihr Unternehmen steht und welche Maßnahmen Priorität haben. Ein strukturierter Blick auf den aktuellen Reifegrad der Informationssicherheit schafft die Grundlage dafür. Er macht sichtbar, wo Governance, IT und operative Steuerung noch nicht konsistent ineinandergreifen - und genau dort entscheidet sich später die Wirksamkeit.

NIS-2: Mit SCHUTZWERK die nächsten Schritte umsetzen

NIS-2 ist mehr als eine formale Registrierungspflicht. Das eigentliche Ziel der Regulierung ist eine dauerhaft belastbare digitale Resilienz. Für Unternehmen bedeutet das: frühzeitig planen, Verantwortlichkeiten klären, Strukturen aufbauen und Maßnahmen dokumentieren.

Wir unterstützen Sie gerne bei den verschiedenen Phasen und Themen der NIS-2:

• RechtlichesGutachtenzurNIS2-BetroffenheitdurcheinenFachanwalt
• Unterstützung bei der Registrierung ihres Unternehmens
• Durchführung einer Bestandsaufnahme (GAP-Analyse) durch z. B. eine ReifegradanalysederInformationssicherheit .
• UnterstützungbeiderEinführungoderOptimierungdesInformationssicherheitsmangements
• UmfassendeBeratungundUnterstützungimBereichInformations-undIT-Sicherheit

Dabei beziehen wir Sie früh ein, in Planung, Durchführung und Auswertung. So bleiben Maßnahmen nachvollziehbar und werden nachhaltig umgesetzt.

KontaktierenSieuns , um gemeinsam die nächsten Schritte für Ihr Unternehmen zu planen.

Das könnte Sie auch interessieren:

• https://www.schutzwerk.com/blog/nis-2-ist-da/
• https://www.schutzwerk.com/compliance/nis2/