NIS2-Registrierung beim BSI verpasst: Konsequenzen & To-dos

Die NIS2-Anforderungen gelten in Deutschland seit dem 06.12.2025. Betroffene Unternehmen müssen seitdem unter anderem geeignete Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.

Wer noch nicht registriert ist, sollte deshalb nicht weiter abwarten. Es drohen hohe Bußgelder.

Die zentrale Empfehlung lautet daher: Betroffenheit prüfen, Registrierung unverzüglich nachholen und die weitere NIS2-Umsetzung dokumentiert starten.

1. Gesetzliche Fristen

Die wichtigsten NIS2-Daten im Überblick

Welche gesetzliche Frist gilt für Ihr Unternehmen?

Das BSI-Gesetz verpflichtet wichtige und besonders wichtige Einrichtungen, sich spätestens drei Monate nach der erstmaligen oder erneuten NIS2-Betroffenheit zu registrieren.
Für Unternehmen, die bereits am 06.12.2025 unter NIS2 fielen, begann die Frist mit dem Inkrafttreten des Gesetzes. Sie endete am 06.03.2026.

Für Unternehmen, die erst später erstmals oder erneut unter NIS2 fallen, gilt dagegen eine individuelle Frist:
Beginn der NIS2-Betroffenheit plus drei Monate = spätester gesetzlicher Registrierungstermin

Beispiele:

• Betroffenheit ab 06.12.2025: Registrierung bis 06.03.2026
• Betroffenheit ab 15.02.2026: Registrierung bis 15.05.2026
• erneute Betroffenheit ab 01.07.2026: Registrierung bis 01.10.2026

Der konkrete Beginn der Betroffenheit sollte nachvollziehbar dokumentiert werden. Maßgeblich können beispielsweise eine Änderung der Unternehmensgröße, ein Eintritt in einen relevanten Sektor, eine veränderte Geschäftstätigkeit oder die erneute Einordnung als regulierte Einrichtung sein.

Meldefristen

Bei einem erheblichen Sicherheitsvorfall gelten folgende Fristen:

• 24 Stunden: frühe Erstmeldung
• 72 Stunden: ausführliche Meldung
• 30 Tage: Abschluss oder Folgemeldung

Auch ein noch nicht registriertes Unternehmen muss einen meldepflichtigen Vorfall melden. Das BSI stellt dafür ein Online-Formular bereit.

2. Wer muss sich beim BSI registrieren?

Die Registrierungspflicht betrifft insbesondere:

• besonders wichtige Einrichtungen
• wichtige Einrichtungen
• Anbieter von Domain-Name-Registry-Diensten
• bestimmte Betreiber kritischer Anlagen
• je nach Einordnung weitere regulierte Einrichtungen

Ob ein Unternehmen unter NIS2 fällt, hängt unter anderem von folgenden Kriterien ab:

• Zugehörigkeit zu einem gesetzlich definierten Sektor
• Unternehmensgröße
• Umsatz und Bilanzsumme
• Kritikalität der erbrachten Dienste
• Rolle in der Lieferkette

Betroffen sein können beispielsweise Unternehmen aus den Bereichen Energie, Gesundheit, Wasser, Transport und Verkehr, digitale Infrastruktur, verarbeitendes Gewerbe, Lebensmittelproduktion, Chemie, Abfallwirtschaft und digitale Dienste.

Der BSI-NIS2-Checker bietet eine erste Orientierung. Das Ergebnis ist jedoch nicht rechtsverbindlich. Unternehmen sollten ihre Betroffenheit fachlich prüfen und das Ergebnis nachvollziehbar dokumentieren.

Wichtige und besonders wichtige Einrichtungen im Vergleich

Die Risikomanagementpflichten gelten für beide Einrichtungskategorien. Unterschiede bestehen insbesondere bei der Intensität der Aufsicht und den möglichen Sanktionen.

3. Welche Konsequenzen hat eine verspätete Registrierung?

Der Fristverstoß bleibt bestehen

Eine nachträgliche Registrierung ist der richtige Schritt, macht die ursprüngliche Fristüberschreitung aber nicht automatisch ungeschehen.

Unternehmen sollten deshalb dokumentieren,

• seit wann die NIS2-Betroffenheit besteht
• welche gesetzliche Frist maßgeblich war
• wann die Registrierung nachgeholt wurde
• warum es zur Verzögerung kam
• welche Maßnahmen eine erneute Verzögerung verhindern

Das BSI kann die Registrierung selbst vornehmen

Erfüllt eine Einrichtung ihre Registrierungspflicht nicht, kann das BSI die Registrierung nach § 33 Absatz 3 BSI-Gesetz auch selbst vornehmen.

Die fehlende Registrierung verhindert somit nicht, dass das Unternehmen als regulierte Einrichtung erfasst wird.

Das BSI kann Unterlagen und Auskünfte verlangen

Bestehen Anhaltspunkte für eine nicht erfüllte Registrierungspflicht, kann das BSI Unterlagen und Auskünfte verlangen. Dazu können beispielsweise Nachweise zur Betroffenheit, Unternehmensgröße, Einrichtungsart und Kontaktstelle gehören.

Ein Bußgeld von bis zu 500.000 Euro ist möglich

Nach § 65 BSI Gesetz kann ein Bußgeld von bis zu 500.000 Euro verhängt werden, wenn Registrierungsangaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt werden.

Das kann beispielsweise relevant sein bei:

• vollständig unterlassener Registrierung
• verspäteter Registrierung
• unvollständigen Angaben
• falschen Angaben
• nicht rechtzeitig gemeldeten Änderungen

Die Höchstgrenze wird nicht automatisch bei jedem Verstoß verhängt. Die konkrete Bußgeldhöhe hängt vom Einzelfall ab, unter anderem von Art, Umfang und Dauer des Verstoßes sowie von Vorsatz oder Fahrlässigkeit.

Höhere Bußgelder für weitere NIS2-Verstöße

Die häufig genannten Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes beziehen sich nicht automatisch auf eine fehlende Registrierung. Sie können bei bestimmten Verstößen gegen folgende Pflichten relevant werden:

• Risikomanagementmaßnahmen
• Dokumentation der Sicherheitsmaßnahmen
• Meldung erheblicher Sicherheitsvorfälle
• Abschluss oder Fortschrittsmeldungen
• vollziehbare behördliche Anordnungen

Die konkrete Sanktion hängt immer davon ab, welche gesetzliche Pflicht verletzt wurde.

4. Nachträgliche Registrierung: Schritt für Schritt

Wir empfehlen Ihnen dringend, die Registrierung nachzuholen, um weitere Verstöße und Sanktionen zu vermeiden. Wir haben für Sie die wichtigen nächsten Schritte zusammengefasst:

Schritt 1: Betroffenheit und Frist ermitteln

Prüfen Sie:

• Ist Ihr Unternehmen in einem relevanten Sektor tätig?
• Werden die gesetzlichen Schwellenwerte erreicht?
• Handelt es sich um eine wichtige oder besonders wichtige Einrichtung?
• Seit wann besteht die Betroffenheit?
• Welche gesetzliche Dreimonatsfrist galt?

Halten Sie das Ergebnis schriftlich fest. Auch eine Einschätzung, dass keine NIS2-Betroffenheit besteht, sollte nachvollziehbar begründet werden.

Schritt 2: Verantwortliche benennen

Bestimmen Sie:

• eine verantwortliche Person für die Registrierung
• eine NIS2-Kontaktstelle
• eine NIS2-Kontaktperson
• eine Vertretung
• eine verantwortliche Stelle für die weitere NIS2-Umsetzung

Die hinterlegten Personen müssen erreichbar und mit den internen Eskalationswegen vertraut sein.

Schritt 3: Mein Unternehmenskonto einrichten

Der Registrierungsprozess beginnt beim digitalen Dienst Mein Unternehmenskonto. Dafür wird ein ELSTER-Organisationszertifikat benötigt.

Planen Sie für die Einrichtung ausreichend Zeit ein. Aktivierungsdaten können unter anderem per Post an die bei der Steuerverwaltung hinterlegte Unternehmensadresse gesendet werden.

Schritt 4: Daten zusammenstellen

Halten Sie insbesondere folgende Angaben bereit:

• Name und Anschrift der Einrichtung
• Rechtsform und Registerdaten
• Sektor, Branche und Einrichtungsart
• Unternehmensgröße
• Jahresumsatz und Bilanzsumme
• NIS2-Kontaktstelle und Kontaktperson
• zuständige Aufsichtsbehörden
• EU-Mitgliedstaaten, in denen relevante Dienste erbracht werden
• öffentlich erreichbare IP-Adressbereiche, sofern erforderlich
• Angaben zu kritischen Anlagen, sofern zutreffend

Schritt 5: Im BSI-Portal registrieren

Melden Sie sich im BSI-Portal an und wählen Sie den Bereich für die NIS2-Registrierung. Das BSI stellt dafür eine Schritt-für-Schritt-Anleitung bereit.

Prüfen Sie vor dem Absenden:

• Ist die richtige juristische Person ausgewählt?
• Sind Sektor und Einrichtungsart korrekt?
• Sind alle Pflichtfelder vollständig?
• Sind die Kontaktpersonen erreichbar?
• Sind die Unternehmensdaten aktuell?

Schritt 6: Bestätigung sichern

Speichern Sie die Registrierungsbestätigung und dokumentieren Sie:

• Datum und Uhrzeit der Registrierung
• übermittelte Angaben
• interne Verantwortlichkeiten
• gegebenenfalls die Begründung für die verspätete Registrierung

Schritt 7: Änderungen fristgerecht melden

Änderungen relevanter Angaben müssen dem BSI unverzüglich, spätestens innerhalb von zwei Wochen, über das BSI-Portal übermittelt werden. Definieren Sie hierfür einen festen internen Prozess. So bleiben beispielsweise Änderungen bei Kontaktpersonen, Unternehmensgröße, Sektor oder IP-Adressbereichen nachvollziehbar und fristgerecht gepflegt.