Wenn Ihre Organisation unter NIS2 fällt und sich noch nicht beim BSI registriert hat, tun Sie dies jetzt. Beide Fristen sind verstrichen: die gesetzliche Drei-Monats-Frist, die im März 2026 endete, und die Verlängerung des BSI bis zum 31. Juli 2026. Auf der NIS2-Seite des BSI heißt es nun deutlich: "Die gesetzliche Registrierungsfrist ist bereits abgelaufen", registrieren Sie sich umgehend. Die Registrierung erfolgt in zwei Schritten: ein ELSTER-Organisationszertifikat und anschließend das Formular im BSI-Portal. Das Zertifikat ist der zeitkritische Teil, da das Aktivierungsschreiben per Post versandt wird. Eine fehlende oder verspätete Registrierung kann mit einer Geldbuße von bis zu 500.000 € geahndet werden.
Ich arbeite als unabhängiger Berater für Firewall- und Netzwerksicherheit in deutschen Unternehmen und sehe NIS2 aus der Perspektive der technischen Datenlieferung. Dies ist ein Leitfaden, keine Rechtsberatung. Ist Ihre eigene Betroffenheit nicht eindeutig, klären Sie sie mit einer Anwältin oder einem Anwalt.
Muss Ihre Organisation sich registrieren?
Sie müssen sich registrieren, wenn Sie nach dem BSI-Gesetz (BSIG) als besonders wichtige Einrichtung oder als wichtige Einrichtung eingestuft werden. Dies hängt von zwei Faktoren ab: ob Ihr Geschäft einer der in den Anlagen des Gesetzes aufgeführten Einrichtungsarten entspricht, und von Ihrer Größe. Die Schwellenwerte in § 28 BSIG sind:
| Kategorie | Wer | Größenschwelle |
|---|---|---|
| Besonders wichtig | Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter | Keine |
| Besonders wichtig | Einrichtungsarten in Anlage 1 (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur u. a.) | Mindestens 250 Mitarbeiter oder Umsatz über 50 Millionen € und Bilanzsumme über 43 Millionen € |
| Wichtig | Einrichtungsarten in Anlage 1 oder Anlage 2 (Anlage 2 ergänzt Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung u. a.) | Mindestens 50 Mitarbeiter oder Umsatz und Bilanzsumme jeweils über 10 Millionen € |
Mitarbeiter und Umsatz werden gemäß der EU-KMU-Empfehlung 2003/361/EG gezählt. Eine Tochtergesellschaft rechnet die Zahlen ihrer Partner- oder verbundenen Unternehmen nicht mit ein, wenn ihre IT-Systeme unabhängig sind, so regelt es § 28 Abs. 4 im Detail. Bei Unsicherheiten bietet das BSI eine kostenlose NIS-2-Betroffenheitsprüfung an. Deren Ergebnis ist eine Orientierungshilfe, keine rechtliche Entscheidung.
Sie haben den 31. Juli 2026 verpasst. Was passiert jetzt?
Eine verspätete Registrierung ist weiterhin möglich und wird vom BSI gefordert. Das deutsche NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. § 33 Abs. 1 BSIG gibt einer Einrichtung drei Monate ab dem Zeitpunkt, zu dem sie erstmals als solche gilt, um ihre Angaben zu übermitteln. Für die meisten Organisationen schloss dieses Zeitfenster am 6. März 2026.
Der Termin am 31. Juli war eine zusätzliche Verlängerung. Im Juni berichtete heise über ein Schreiben des BSI an Wirtschaftsverbände: Darin räumte das Amt ein, dass sich deutlich weniger Unternehmen registriert hatten als erwartet, und ging davon aus, dass die ausstehenden Registrierungen bis zum 31. Juli erledigt sind. Nach Ablauf dieses Datums zitierte die Stadtwerke-Fachzeitung ZfK das BSI: "Die gesetzlichen Fristen gelten unabhängig vom individuellen Umsetzungsaufwand". Zugleich behielt sich das BSI bußgeldbewehrte Schritte vor.
Die Zahlen belegen den Druck des BSI. Bis zum 30. September 2026 hatten sich 20.141 Einrichtungen unter NIS2 registriert: 13.252 wichtige und 6.837 besonders wichtige. Frühere Schätzungen von Destatis gingen von etwa 29.500 aus; das BSI hat Destatis gebeten zu prüfen, ob diese Schätzung zu hoch war. Meiner Ansicht nach fehlen entweder mehrere tausend Organisationen, oder die Schätzung war falsch. Beides ist kein Grund zu warten. Nach § 33 Abs. 3 kann das BSI eine Einrichtung auch von Amts wegen registrieren, falls diese es versäumt, und ich würde meine Angaben lieber selbst einreichen, als sie von der Aufsicht von außen eintragen zu lassen.
Wie hoch ist die Geldbuße bei verspäteter Registrierung?
Bis zu 500.000 €. § 65 Abs. 2 Nr. 6 BSIG macht es zur Ordnungswidrigkeit, die Registrierungsangaben nach § 33 "nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig" zu übermitteln. Das gilt bei Vorsatz ebenso wie bei Fahrlässigkeit. § 65 Abs. 5 Nr. 5 setzt die Obergrenze für diese Ordnungswidrigkeit auf 500.000 €.
Die oft genannten 10 Millionen € gehören zu anderen Pflichten. Das Versäumnis, die Risikomanagement-Maßnahmen nach § 30 umzusetzen oder zu dokumentieren, oder Vorfälle nach § 32 nicht zu melden, kann eine besonders wichtige Einrichtung bis zu 10 Millionen € und eine wichtige Einrichtung bis zu 7 Millionen € kosten. Bei einem weltweiten Umsatz über 500 Millionen € liegt die Obergrenze bei 2 % bzw. 1,4 % dieses Umsatzes. Für die Registrierung gilt die niedrigste Obergrenze der drei Pflichten.
Wie registrieren Sie sich beim BSI, Schritt für Schritt?
Das BSI nennt es einen zweistufigen Prozess: erst Mein Unternehmenskonto (MUK), dann das BSI-Portal. In der Praxis gliedert es sich in vier Aufgaben.
1. ELSTER-Organisationszertifikat beantragen. Sie beantragen es unter mein-unternehmenskonto.de/registrierung. Voraussetzung ist eine deutsche Steuernummer, gleich für welche Steuerart sie vergeben wurde. Ein Sitz in Deutschland ist nicht erforderlich. Das Zertifikat ist kostenlos. Die Aktivierungsdaten kommen per E-Mail, ein separates Aktivierungsschreiben geht per Post an die bei der Steuernummer hinterlegte Adresse. Laut BSI dauert dies "regelmäßig mindestens fünf Werktage". Die Zertifikatsdatei können Sie erst herunterladen, wenn beides vorliegt.
2. Im BSI-Portal anmelden. Wählen Sie auf portal.bsi.bund.de "Mit MUK anmelden", laden Sie die Zertifikatsdatei hoch, geben Sie das Passwort ein und bestätigen Sie die Übermittlung der Unternehmensdaten an das Portal. Diese Daten stammen aus dem Zertifikat und können im Portal nicht geändert werden. Korrekturen erfolgen in "Mein ELSTER".
3. Die NIS-2-Registrierung ausfüllen. Der Schritt-für-Schritt-Leitfaden des BSI listet folgende Felder:
- ob Ihre Einrichtung zu den Stellen des Bundes zählt und ob Sie als Betreiber kritischer Anlagen registriert sind (ggf. mit Institutions-ID);
- Ihre NIS-2-Einstufung, Sektor, Branche und Einrichtungsart sowie alle EU-Mitgliedstaaten, in denen Sie Dienste anbieten;
- alle Bundes- und Landesaufsichtsbehörden für die Tätigkeiten, die die Registrierung auslösen, nicht nur die für IT-Sicherheit;
- eine NIS-2-Kontaktstelle: die Abteilung, ein oder zwei Telefonnummern im internationalen Format und idealerweise ein Funktionspostfach statt einer persönlichen Adresse;
- eine oder mehrere Kontaktpersonen, die zu NIS-2 aussagefähig sind und von ihrer Benennung wissen;
- alle öffentlichen statischen IP-Adressbereiche, IPv4 und IPv6 in CIDR-Notation, oder die Angabe, dass keine vorhanden sind.
Klicken Sie anschließend auf "Registrierung abschließen". Der erste Nutzer, der die Organisation registriert, wird zum Administrator und kann Kollegen einladen.
4. Aktuell halten. Nach § 33 Abs. 5 BSIG müssen Änderungen an den Registrierungsdaten unverzüglich und spätestens innerhalb von zwei Wochen nachgetragen werden. Neue IP-Bereiche oder ein Wechsel der Kontaktperson zählen dazu.
Was sollten Sie vorher vorbereiten?
| Punkt | Herkunft | Wer sie meistens hat |
|---|---|---|
| Deutsche Steuernummer | Finanzamt | Finanzabteilung oder Steuerberater |
| Aktivierungsbrief für das ELSTER-Zertifikat | Post an die zur Steuernummer hinterlegte Adresse, mindestens fünf Werktage | Person, die die Firmenpost öffnet |
| Klassifizierung, Sektor, Einrichtungstyp | § 28 BSIG, Anlagen, BSI Betroffenheitsprüfung | Rechtsabteilung oder Compliance |
| Aufsichtsbehörden | Lizenzen und Sektorregulatoren | Rechtsabteilung oder Compliance |
| Kontaktstelle und Kontaktpersonen | Interne Entscheidung | Geschäftsführung |
| Öffentliche statische IP-Bereiche (IPv4/IPv6, CIDR) | Providerverträge, RIR-Zuweisungen, Firewall- und DNS-Konfiguration | Netzwerkteam |
Meiner Einschätzung nach ist die IP-Liste der Punkt, der am ehesten falsch ist. Bereiche gehören zu Providern, Zweigniederlassungen oder alten Projekten, und die Person, die das Formular ausfüllt, kennt selten alle davon. Erstellen Sie die Liste aus Providerverträgen und der Konfiguration Ihrer Edge-Firewalls, nicht aus dem Gedächtnis. Ein Netzwerk, das sich von seiner Dokumentation entfernt hat, wie ich es in Sicherheitskontrollen: Audit bestanden, nichts bewirkt beschrieben habe, fällt genau hier zuerst auf.
Was deckt die Registrierung nicht ab?
Die Registrierung meldet dem BSI lediglich Ihre Existenz. Die Pflichten dahinter gelten ab demselben Zeitpunkt und warten nicht auf das Formular:
- Risikomanagement-Maßnahmen nach § 30 BSIG: angemessene technische und organisatorische Maßnahmen inklusive der Dokumentation ihrer Umsetzung.
- Meldung von Vorfällen nach § 32 BSIG: eine frühe Erstmeldung binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung.
- Managementpflichten nach § 38 BSIG: die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet für schuldhafte Verstöße nach Gesellschaftsrecht.
Ein praktischer Zusammenhang: Vorfallmeldungen erfolgen ebenfalls über das BSI-Portal, und jeder Login benötigt ein ELSTER-Organisationszertifikat. Das BSI empfiehlt ein Zertifikat pro Person, die Zugriff benötigt. Wenn das einzige Zertifikat auf einem Laptop liegt, hängt Ihre 24-Stunden-Meldung von der Erreichbarkeit dieser einen Person ab. Die größere Lücke bei der Vorbereitung habe ich in warum deutsche KMU bei NIS2 gefährlich unvorbereitet sind thematisiert, und einen stufenweisen technischen Ansatz in einem pragmatischen 90-Tage-Zero-Trust-Plan für den Mittelstand.
Was kann ein externer Berater für einen verspäteten Kunden tun?
Ein externer Berater hilft vor allem bei den Daten und kaum beim Formular selbst. Er kann den Kunden nicht mit seinem eigenen Zertifikat registrieren. Das BSI stellt klar, dass jedes Zertifikat an die Steuernummer des Unternehmens gebunden ist, und das Aktivierungsschreiben geht an die Steueradresse des Kunden. Der kritische Pfad verläuft also durch die Poststelle des Kunden.
Beim Inhalt hilft ein externer Spezialist tatsächlich: die Klärung der Klassifizierung mit den Anwälten des Kunden, die Erstellung einer korrekten Liste öffentlicher IP-Bereiche, die Einrichtung eines Funktionspostfachs für die Kontaktstelle und die Sicherstellung, dass mehrere Personen Zertifikate halten, bevor der erste Vorfall eintritt. Wenn Sie für deutsche Unternehmen tätig sind, wie ich es in IT-Freelancer werden in Deutschland beschrieben habe, sollten Sie diese Frage in Scope-Diskussionen erwarten. Ein Blick auf den öffentlichen Sektor lohnt sich ebenfalls: Die Bundesverwaltung prüft ihre eigene IT-Sicherheit per Fragebogen, was zeigt, wie sehr der Staat auf Selbstdeklarationen vertraut.
Mein Rat für alle, die im Oktober 2026 noch nicht registriert sind: Beantragen Sie heute das ELSTER-Zertifikat, denn der Postweg ist der einzige Schritt, den niemand beschleunigen kann. Sammeln Sie die Daten, während die Post unterwegs ist, und registrieren Sie sich am Tag, an dem der Brief eintrifft.