NIS2-Registrierungsfrist verpasst: Was jetzt zu tun ist

Die Duldung ist vorbei — die Pflicht war nie weg

Am 6. Dezember 2025 ist das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie in Kraft getreten; das schreibt das BSI selbst auf seiner Statistikseite „NIS-2 in Zahlen" (siehe https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-in-Zahlen/nis-2-in-zahlen.html). Seitdem müssen sich wichtige und besonders wichtige Einrichtungen beim BSI registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagement-Maßnahmen umsetzen. Die gesetzliche Registrierungsfrist endete am 6. März 2026.

Was danach passierte, wird in vielen Unternehmen bis heute falsch verstanden. Die Kanzlei Kleeberg fasst die Rechtslage in ihrem Beitrag vom 15.07.2026 präzise zusammen (siehe https://www.kleeberg.de/en/2026/07/15/nis-2-registrierung-bsi-gewaehrt-nachfrist-bis-31-juli-2026/): Die gesetzliche Frist wurde nicht verlängert. Das BSI hat lediglich angekündigt, verspätete Registrierungen bis Ende Juli zu dulden und in diesem Zeitraum auf unmittelbare Maßnahmen zu verzichten. Juristisch ist das eine Vollzugskulanz, keine neue Frist. Wer sich darauf verlassen hat, hat sich auf ein Entgegenkommen verlassen, nicht auf ein Recht — und dieses Entgegenkommen ist am 31. Juli 2026 ausgelaufen.

Der Grund für die Kulanz war der Registrierungsstand. Nach den Zahlen, die Kleeberg unter Berufung auf das BSI nennt, hatten sich von rund 29.500 betroffenen Unternehmen bis zum gesetzlichen Fristablauf am 6. März 2026 lediglich rund 11.500 registriert; bis Ende Mai 2026 waren es rund 18.500. Die Zahl der Betroffenen von rund 29.500 Unternehmen und Institutionen der Bundesverwaltung nennt das BSI in seiner Pressemitteilung zur Freischaltung des BSI-Portals vom 06.01.2026 (siehe https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260601_NIS2_BSI-Portal.html). Rechnet man das gegeneinander, fehlte Ende Mai noch immer rund ein Drittel der Pflichtigen.

Die amtliche Zwischenbilanz ist noch nüchterner. Zum Stichtag 30.06.2026 waren laut BSI 17.729 Unternehmen im BSI-Portal registriert — davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen, von letzteren 1.342 Betreiber kritischer Anlagen. Rechnet man die 216 registrierten Nebenniederlassungen in anderen EU-Mitgliedstaaten hinzu, weist das BSI insgesamt 17.945 NIS-2-Registrierungen aus. Im selben Zeitraum gingen 692 Erstmeldungen und insgesamt 1.659 NIS-2-Meldungen über das Portal ein; die nächste Aktualisierung dieser Zahlen kündigt das BSI für den 31. Oktober 2026 an (siehe https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-in-Zahlen/nis-2-in-zahlen.html). Was die Duldungsphase gebracht hat, steht dagegen bereits fest: Bis zum 31. Juli 2026 lagen dem BSI insgesamt 19.058 Registrierungen vor — 12.354 wichtige und 6.487 besonders wichtige Einrichtungen, davon 1.378 KRITIS. Das teilte die Bundesregierung in der Bundestags-Drucksache 21/7573 vom 14.08.2026 mit (siehe https://dserver.bundestag.de/btd/21/075/2107573.pdf).

Auf seiner Themenseite für NIS-2-regulierte Unternehmen formuliert das BSI unmissverständlich: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen. Von NIS-2 betroffen und noch nicht registriert? Dann jetzt umgehend im BSI-Portal registrieren!" (siehe https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html). Das ist keine Marketingsprache einer Behörde, sondern die klarste verfügbare Handlungsanweisung. Wenn Sie diesen Text lesen, weil Sie unsicher sind, ob Sie dazugehören: Die nächsten drei Abschnitte beantworten genau das — in dieser Reihenfolge und mit Zeitangaben.

Betroffenheit in 30 Minuten klären — ohne Gutachten

Die häufigste Reaktion nach einer verpassten Frist ist der Auftrag an eine Kanzlei mit sechs Wochen Bearbeitungszeit. Das ist selten falsch, aber immer zu langsam. Für die Erstsortierung brauchen Sie kein Gutachten, sondern zwei Angaben, die jeder Geschäftsführer im Kopf hat: den Sektor und die Unternehmensgröße. Damit kommen Sie in einer halben Stunde zu einer belastbaren Arbeitshypothese, die Sie sofort handlungsfähig macht — die juristische Feinprüfung läuft danach parallel weiter.

Die Systematik ist zweistufig. Zuerst die Sektorfrage: Anlage 1 des BSIG in der neuen Fassung listet die Sektoren hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren. OpenKRITIS führt beide Anlagen samt Teilsektoren übersichtlich auf (siehe https://www.openkritis.de/it-sicherheitsgesetz/nis2-umsetzung-gesetz-cybersicherheit.html): In Anlage 1 stehen Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. In Anlage 2 stehen Post und Kurier, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.

Der Sektor „verarbeitendes Gewerbe" ist dabei der stille Treiber der Fallzahlen. Er umfasst laut OpenKRITIS unter anderem Medizin und Diagnostika, Datenverarbeitung, Elektro und Optik (NACE C 26 und 27), Maschinenbau (NACE C 28), Kraftfahrzeuge und Teile (NACE C 29) sowie sonstigen Fahrzeugbau (NACE C 30). Das erklärt, warum die BSI-Registrierungsstatistik zum 30.06.2026 mit 4.095 Registrierungen ausgerechnet im verarbeitenden Gewerbe den größten Einzelposten der Anlage-2-Sektoren ausweist. Wer einen mittelständischen Maschinenbauer führt und bisher davon ausging, NIS2 sei ein Thema für Stadtwerke und Kliniken, sollte bei diesem Absatz innehalten.

Zweitens die Größenschwelle. Nach der Darstellung von OpenKRITIS ist eine besonders wichtige Einrichtung nach § 28 Absatz 1 BSIG ein Großunternehmen aus Anlage 1, also ab 250 Mitarbeitern oder mit mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme. Eine wichtige Einrichtung nach § 28 Absatz 2 ist ein mittleres oder großes Unternehmen aus Anlage 1 oder 2, also ab 50 Mitarbeitern oder mit mehr als 10 Mio. Euro Umsatz und mehr als 10 Mio. Euro Bilanzsumme. Die Mitarbeiterzahl und die Finanzkennzahlen stehen dabei in einem Oder-Verhältnis: 60 Beschäftigte reichen aus, auch wenn der Umsatz die Schwelle klar unterschreitet.

Drittens — und hier scheitern die meisten Schnellprüfungen — die Sonderfälle. Größenunabhängig erfasst sind nach OpenKRITIS qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Dienste sowie Betreiber kritischer Anlagen; Anbieter öffentlicher TK-Netze und TK-Dienste sind ab mittlerer Unternehmensgröße erfasst, Vertrauensdienste größenunabhängig. Umgekehrt gibt es Ausschlüsse: Finanzunternehmen, die unter DORA fallen, sind nach § 28 Absatz 5 von den zentralen NIS2-Pflichten der §§ 30, 31, 32, 35, 36, 38 und 39 ausgenommen; die Bundesverwaltung ist separat in § 29 geregelt. Und § 28 Absatz 3 erlaubt, bei den Mitarbeiter- und Finanzzahlen solche Geschäftstätigkeiten unberücksichtigt zu lassen, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind — eine Stellschraube, die in Konzernstrukturen über die Einstufung entscheiden kann.

Für die strukturierte Selbstprüfung stellt das BSI eine eigene NIS-2-Betroffenheitsprüfung bereit, verlinkt auf der oben genannten Themenseite. Wo Ihre Organisation über die reine Betroffenheitsfrage hinaus bei der Umsetzung steht, zeigt unser kostenloser NIS2-Readiness-Check — Reifegrad-Score über sechs Domänen in rund drei Minuten, ohne Registrierung.

Die ersten 72 Stunden: registrieren, dokumentieren, beschließen

Wenn die Schnellprüfung „betroffen" ergibt, gilt eine einfache Priorisierungsregel: Was die Ausgangslage in einem Aufsichtsverfahren verbessert, kommt zuerst. Das ist nicht die technische Maßnahme, sondern der aktenkundige Nachweis, dass Sie ab dem Zeitpunkt der Kenntnis strukturiert gehandelt haben. Eine verspätete Registrierung mit sauberer Dokumentation ist eine völlig andere Ausgangslage als eine verspätete Registrierung, die erst nach behördlicher Ansprache erfolgt.

Rechnen Sie beim Registrierungsvorgang selbst mit einer Vorlaufzeit, die nicht in Ihrer Hand liegt. Das BSI beschreibt den Prozess als zweistufig: Zunächst muss eine Anmeldung beim digitalen Dienst „Mein Unternehmenskonto" erfolgen, dann die Registrierung im BSI-Portal — so die Pressemitteilung vom 06.01.2026. Auf der Themenseite konkretisiert das BSI Schritt eins als Beantragung eines ELSTER-Organisationszertifikats. Diese Beantragung ist ein Behördenprozess mit eigener Laufzeit. Wer heute anfängt und annimmt, in einer Stunde fertig zu sein, plant falsch. Starten Sie deshalb Schritt eins sofort und arbeiten Sie die übrigen Punkte parallel ab, nicht danach.

Der zweite Block ist die Selbsteinschätzung. Dokumentieren Sie, mit welchen Daten Sie geprüft haben: Sektorzuordnung mit Begründung, Mitarbeiterzahl und Finanzkennzahlen zum Stichtag, geprüfte Sonderfälle und Ausschlüsse, herangezogene Quellen und das Datum. Diese Dokumentation ist auch dann wertvoll, wenn das Ergebnis „nicht betroffen" lautet — eine undokumentierte Negativeinschätzung ist im Zweifelsfall wertlos, eine dokumentierte ist ein Beleg für sorgfältiges Handeln.

Der dritte Block ist der Geschäftsleitungsbeschluss. Er ist der einzige Schritt, den Sie nicht delegieren können, und gleichzeitig der billigste. Ein datierter Beschluss, der die Betroffenheitsbewertung zur Kenntnis nimmt, die Registrierung anweist, einen Verantwortlichen benennt und ein Budget freigibt, kostet eine halbe Stunde Sitzungszeit. Ohne ihn fehlt in jeder späteren Prüfung genau das Dokument, das die Geschäftsleitung entlastet.

1. 1Stunde 0–4: ELSTER-Organisationszertifikat über „Mein Unternehmenskonto" beantragen. Das ist Schritt eins des zweistufigen BSI-Registrierungsverfahrens und hat eine Bearbeitungszeit, die Sie nicht beeinflussen können — deshalb zuerst und nicht zuletzt.
2. 2Stunde 0–8: Betroffenheitsbewertung schriftlich fixieren. Sektor nach Anlage 1 oder 2, Mitarbeiterzahl und Finanzkennzahlen zum Stichtag, geprüfte Sonderfälle, geprüfte Ausschlüsse, Quellen, Datum, Verfasser. Zwei Seiten reichen — sie müssen nur nachvollziehbar sein.
3. 3Stunde 8–24: Geschäftsleitungsbeschluss fassen und protokollieren. Inhalt: Kenntnisnahme der Bewertung, Anweisung zur unverzüglichen Registrierung, Benennung eines verantwortlichen Mitglieds der Geschäftsleitung, Freigabe von Budget und Ressourcen, Festlegung eines Berichtsturnus.
4. 4Stunde 24–48: Registrierung im BSI-Portal abschließen, sobald das Organisationszertifikat vorliegt. Registrierungsbestätigung, Zeitstempel und Screenshots archivieren. Diese Belege sind Ihr Nachweis, dass die Nachholung aus eigenem Antrieb erfolgt ist.
5. 5Stunde 48–72: Meldefähigkeit herstellen, bevor sie gebraucht wird. Benennen Sie die meldeberechtigte Person samt Vertretung, legen Sie die Zugangsdaten zum BSI-Portal an einem im Krisenfall erreichbaren Ort ab und hinterlegen Sie eine Meldevorlage. Ein registriertes Unternehmen ohne funktionierende Meldekette hat die Pflicht nur verschoben, nicht erfüllt.
6. 6Parallel ab Tag 1: Externe Rechtsberatung für die belastbare Einzelfallprüfung beauftragen. Die Schnellprüfung dieses Artikels priorisiert und macht handlungsfähig; sie ersetzt keine rechtliche Würdigung des konkreten Geschäftsmodells.

Das Haftungsbild: was die Quellen tatsächlich hergeben

Beim Thema Sanktionen kursieren Zahlen, die durcheinandergeraten, weil sie aus verschiedenen Ebenen stammen. Sauber getrennt sieht das Bild so aus — und die Unterscheidung ist für Ihre Risikoeinschätzung entscheidend.

Erstens die europäische Ebene. Artikel 34 der Richtlinie (EU) 2022/2555 (siehe https://eur-lex.europa.eu/eli/dir/2022/2555/oj) verpflichtet die Mitgliedstaaten, für wesentliche Einrichtungen, die gegen Artikel 21 oder 23 verstoßen, Geldbußen mit einem Höchstbetrag von mindestens 10.000.000 Euro oder mindestens 2 Prozent des gesamten weltweiten Vorjahresumsatzes vorzusehen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt der entsprechende Rahmen bei mindestens 7.000.000 Euro oder mindestens 1,4 Prozent des weltweiten Vorjahresumsatzes. Wichtig ist die Bezugsgröße: Diese Rahmen gelten laut Wortlaut für Verstöße gegen Artikel 21 (Risikomanagementmaßnahmen) und Artikel 23 (Meldepflichten) — nicht für die Registrierungspflicht.

Zweitens die deutsche Ebene. OpenKRITIS beschreibt die Sanktionsvorschriften des NIS2-Umsetzungsgesetzes als erweitert, mit neuen Bußgeldtatbeständen und erhöhten Bußgeldern zwischen 100 Tsd. und 20 Mio. Euro, teils gekoppelt an den weltweiten Umsatz. Das ist der Gesamtrahmen des Gesetzes, nicht der Rahmen für einen einzelnen Verstoß.

Drittens — und für Ihren konkreten Fall am relevantesten — die Registrierungspflicht selbst. Die Kanzlei Kleeberg schreibt dazu in ihrem Beitrag vom 15.07.2026 ausdrücklich: Ein Verstoß bleibt eine bußgeldbewehrte Ordnungswidrigkeit, die nach § 65 BSIG mit bis zu 500.000 Euro geahndet werden kann. Wer eine versäumte Registrierung mit den 10-Millionen-Zahlen aus der Richtlinie in Verbindung bringt, verwechselt zwei Tatbestände. Umgekehrt gilt: Wer aus der niedrigeren Zahl auf ein geringes Risiko schließt, übersieht, dass die Registrierung nur die Eintrittskarte ist — die eigentlichen Pflichten aus § 30 und § 32 BSIG mit ihrem deutlich höheren Sanktionsrahmen laufen unabhängig davon seit dem 06.12.2025.

Viertens die persönliche Ebene. Kleeberg hält fest, dass die Geschäftsleitung nach § 38 BSIG persönlich für die Einhaltung der NIS2-Pflichten haftet. OpenKRITIS führt § 38 in seiner Pflichtenübersicht als eigene Zeile „Geschäftsleitung Umsetzung" und markiert sie sowohl für besonders wichtige als auch für wichtige Einrichtungen. Das bedeutet in der Praxis: Die operative Umsetzung dürfen Sie an IT, Security oder Dienstleister geben. Die Verantwortung dafür, dass es geschieht und dass Sie es nachvollziehbar überwacht haben, bleibt bei Ihnen. Genau deshalb steht der Geschäftsleitungsbeschluss im 72-Stunden-Block oben und nicht unten.

Der 90-Tage-Aufholplan entlang der NIS2-Mindestanforderungen

Nach der Registrierung beginnt die eigentliche Arbeit. § 30 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige technische und organisatorische Maßnahmen; OpenKRITIS listet § 30 in seiner Pflichtenübersicht für beide Einrichtungstypen. Die inhaltliche Vorlage dafür ist Artikel 21 der Richtlinie (EU) 2022/2555, dessen Maßnahmenkatalog von der Risikoanalyse über Incident Handling, Business Continuity und Lieferkettensicherheit bis zu Kryptografie, Multi-Faktor-Authentifizierung und Schulungen reicht.

Der folgende Plan priorisiert nicht nach technischer Eleganz, sondern nach zwei Kriterien: Was schließt die größte Sanktionslücke, und was ist in 90 Tagen realistisch fertig? Verhältnismäßigkeit ist dabei kein Schlupfloch, sondern eine Begründungspflicht. Ein mittelständischer Zulieferer muss nicht das Sicherheitsniveau eines Netzbetreibers erreichen — aber er muss begründen und dokumentieren können, warum sein Niveau angemessen ist.

Ein Hinweis zur Reihenfolge, der aus der Praxis kommt: Die Meldefähigkeit gehört vor die Risikoanalyse. Eine unvollständige Risikoanalyse lässt sich nachbessern; eine gerissene Meldefrist nicht. Die BSI-Zahlen zum 30.06.2026 mit 692 Erstmeldungen und 1.659 Gesamtmeldungen zeigen zudem, dass das Meldeverfahren bereits im Regelbetrieb läuft — es ist kein theoretisches Szenario.

Wenn Sie den Reifegrad hinter diesen Maßnahmen strukturiert bewerten wollen, statt ihn zu schätzen, finden Sie die passenden Assessment-Vorlagen in unserem Template-Katalog; Umfang und Konditionen stehen transparent auf der Pricing-Seite. Den vollständigen Pflichtenüberblick jenseits der Registrierung haben wir im Fahrplan NIS2-Umsetzungsgesetz: Pflichten für Geschäftsführer beschrieben.

Nicht vier Register bauen: NIS2 im Verbund mit DORA, CRA und AI Act

Die letzte Weichenstellung entscheidet darüber, ob die Aufholjagd zu einem tragfähigen System führt oder zu einem Papierstapel, der 2027 erneut aufgeholt werden muss. Sie fällt in der Woche, in der jemand vorschlägt, „das NIS2-Risikoregister" anzulegen.

Der Anlass für die Warnung ist konkret. Die Regelwerke, die 2026 auf dieselbe IT-Organisation wirken, verlangen weitgehend dieselben Fähigkeiten in unterschiedlicher Verpackung: Risikomanagement, Lieferkettenkontrolle, fristgebundene Vorfallsmeldung und prüffähige Nachweise. NIS2 ist dabei nicht einmal das einzige Regime, das die Registrierung berührt — OpenKRITIS weist ausdrücklich darauf hin, dass Finanzunternehmen nach der Verordnung (EU) 2022/2554 (DORA) über § 28 Absatz 5 von den zentralen NIS2-Pflichten ausgenommen sind, weil DORA für sie einschlägig ist. Wer diese Abgrenzung nicht sauber trifft, baut entweder doppelt oder gar nicht.

Praktisch heißt das: Legen Sie kein NIS2-Risikoregister an, sondern ein Risikoregister mit einem Mapping-Feld, das je Eintrag ausweist, welche Regelwerke betroffen sind. Dasselbe gilt für das Lieferantenregister, den Incident-Prozess und das Nachweis-Repository. Die Kontrolle „Wir erkennen, klassifizieren und melden Vorfälle fristgerecht" wird einmal gebaut, einmal geübt und mehrfach nachgewiesen. Wer sie pro Regelwerk neu baut, testet sie erfahrungsgemäß nie richtig.

Der Zeitpunkt ist günstiger, als er sich anfühlt. Sie bauen die Kontrollen ohnehin gerade neu — der Mehraufwand für ein regelwerksneutrales Datenmodell beträgt beim Neuaufbau wenige Tage, beim späteren Umbau mehrere Monate. Die vollständige Landkarte der Überschneidungen und Fristen haben wir in der Regulierungs-Kollision 2026 beschrieben; die Abgrenzung zwischen den beiden Regimen, die sich in der Praxis am häufigsten überlagern, im Vergleich DORA vs. NIS2.

• Ein Risikoregister mit Regelwerks-Mapping-Feld statt je einem Register pro Regelwerk
• Ein Lieferantenregister als gemeinsame Quelle für NIS2-Lieferkettensorgfalt, DORA-Informationsregister und CRA-Stückliste
• Ein Incident-Prozess, getaktet auf die schärfste geltende Frist, mit Klassifizierungs-Gate für die Meldeentscheidung
• Ein versioniertes Nachweis-Repository für Policies, Rollen, Freigaben und Testprotokolle
• Eine Rollen-Matrix je Geschäftsbereich, die festhält, welches Regelwerk mit welcher Rolle greift — inklusive der DORA-Ausnahme nach § 28 Abs. 5 BSIG

Vier Fehler, die nach einer verpassten Frist teuer werden

Fehler eins: abwarten, ob sich das BSI meldet. Das Portal ist der Ort, an dem Registrierungen erfasst werden, und das BSI kündigt auf seiner Zahlen-Seite an, die Registrierungs- und Meldezahlen voraussichtlich zum 31. Oktober 2026 zu aktualisieren. Nach dem Ende der Duldung ist mit einer konsequenteren Überwachung der Einhaltung zu rechnen — so formuliert es Kleeberg. Wer wartet, verwandelt eine selbst nachgeholte Registrierung in eine erzwungene.

Fehler zwei: die Negativeinschätzung nicht dokumentieren. Wenn Ihre Prüfung ergibt, dass Sie nicht betroffen sind, ist das ein gutes Ergebnis — aber nur, wenn es aktenkundig ist. Eine mündliche Einschätzung im Führungskreis ist im Aufsichtsverfahren kein Beleg. Zwei Seiten mit Datum, Datenbasis und Unterschrift sind einer.

Fehler drei: die Registrierung als Ziellinie behandeln. Die Registrierungspflicht ist eine von mehreren Pflichten. § 30 BSIG (Risikomanagementmaßnahmen), § 32 (Meldepflichten), § 35 (Unterrichtung von Kunden) und § 38 (Geschäftsleitung) laufen unabhängig davon seit dem 06.12.2025 — das zeigt die Pflichtenübersicht von OpenKRITIS für beide Einrichtungstypen. Ein registriertes Unternehmen ohne Risikomanagement hat den kleineren Sanktionsrahmen geschlossen und den größeren offen gelassen.

Fehler vier: die Lieferkette vergessen. Auch wer nach der Prüfung nicht selbst erfasst ist, wird über die Lieferkettenanforderungen betroffener Kunden faktisch mitreguliert. In der Praxis kommt die erste konkrete NIS2-Anforderung häufig nicht von einer Behörde, sondern vom größten Kunden — und sie kommt mit einer Frist, die kürzer ist als jede behördliche Duldung.