NIS2-Frist verstrichen: Ein Drittel der Unternehmen fehlt — was Nachzügler jetzt tun sollten

Was ist am 31. Juli abgelaufen?

Am 31. Juli 2026 endete die Nachfrist für die Registrierung beim BSI nach dem NIS2-Umsetzungsgesetz. Ursprünglich hätten sich betroffene Unternehmen bereits bis zum 6. März melden müssen; das BSI hatte die Frist danach verlängert, weil absehbar war, dass ein großer Teil der Betroffenen sie nicht kennt.

Das Ergebnis ist ernüchternd: Von den rund 29.500 betroffenen Unternehmen haben sich bis zum Fristende nur etwa 18.500 registriert — das sind rund 63 Prozent. Es fehlen also gut ein Drittel, grob 11.000 Unternehmen. Die meisten davon nicht aus Trotz, sondern weil sie schlicht nicht wissen, dass sie dazugehören.

Der Kreis der Verpflichteten wurde mit NIS2 von etwa 4.500 auf 29.500 Unternehmen ausgeweitet. Viele davon sind erstmals reguliert und haben keine Compliance-Abteilung, die so etwas beobachtet.

Was passiert jetzt, wenn Sie die Frist verpasst haben?

Zunächst das Wichtigste: Es gibt kein automatisches Bußgeld am Tag nach der Frist. Die Aufsicht wird nicht am 1. August mit Sanktionen durch den Mittelstand ziehen. Aber die Rechtslage ist eindeutig — die Pflicht besteht, und sie verschwindet nicht dadurch, dass man sie versäumt hat.

Konkret drohen allein für die versäumte Registrierungspflicht Bußgelder von bis zu 500.000 Euro. Das ist ein eigener Tatbestand, unabhängig von den weitergehenden NIS2-Sanktionen (bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes) für Verstöße gegen die eigentlichen Sicherheitspflichten.

Entscheidend ist die Haltung, die Sie jetzt einnehmen: Wer die Registrierung von sich aus zügig nachholt, steht deutlich besser da als wer wartet, bis jemand fragt. Nachweisbares eigenes Bemühen ist im Aufsichtsverfahren ein Faktor — Ignorieren ist der teuerste Weg.

Sind Sie überhaupt betroffen?

Das ist die Frage, an der die meisten hängen bleiben. Zwei Kriterien entscheiden: Größe und Sektor. Als Faustregel gilt die Schwelle ab etwa 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz — kombiniert mit der Zugehörigkeit zu einem als „wesentlich" oder „wichtig" eingestuften Sektor.

Zu diesen Sektoren zählen unter anderem Energie, Gesundheit, Trinkwasser und Abwasser, Ernährung, verarbeitendes Gewerbe, digitale Dienste, Transport und Entsorgung. Gerade das verarbeitende Gewerbe erwischt viele klassische Mittelständler, die sich nie als „kritische Infrastruktur" verstanden hätten.

Und selbst wer knapp darunter liegt, ist oft indirekt betroffen: Als Zulieferer eines regulierten Unternehmens werden Ihnen dessen Sicherheitsanforderungen vertraglich weitergereicht. Die Grundlagen und die persönliche Verantwortung der Geschäftsführung haben wir in NIS2 für den Mittelstand ausführlich erklärt.

Wie holen Sie die Registrierung nach?

Die Registrierung selbst ist der einfachste Teil — sie läuft über das Meldeportal des BSI und verlangt im Kern Stammdaten, Sektorzuordnung und einen Ansprechpartner. In der Praxis hakt es meist an drei Stellen:

• Die Einstufung: „wesentliche" oder „wichtige" Einrichtung? Davon hängen Aufsichtsintensität und Pflichtenumfang ab.
• Der Ansprechpartner: Es braucht eine benannte, erreichbare Stelle — kein Sammelpostfach, das niemand liest.
• Die Ehrlichkeit: Wer sich falsch oder zu klein einstuft, verschiebt das Problem nur nach hinten.

Unser Rat: Klären Sie die Betroffenheit sauber, bevor Sie das Formular ausfüllen — eine falsche Selbsteinstufung ist schwerer zu korrigieren als eine späte Meldung.

Was kommt nach der Registrierung?

Die Meldung ist die Eintrittskarte, nicht die Hausaufgabe. Danach greifen die eigentlichen Pflichten: ein angemessenes Risikomanagement, technische und organisatorische Maßnahmen — darunter Zugriffskontrolle, Verschlüsselung, Backup- und Notfallmanagement, Lieferkettensicherheit und Schulungen — sowie strenge Meldepflichten bei Sicherheitsvorfällen (Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden).

Das klingt nach viel, ist aber in weiten Teilen das, was ein gut betreuter IT-Betrieb ohnehin tun sollte: Updates konsequent einspielen, Multi-Faktor-Authentifizierung flächendeckend nutzen, Backups testen und Vorfälle über Monitoring überhaupt erst bemerken.

Was sollten Sie diese Woche tun?

Drei Schritte, in dieser Reihenfolge — und alle drei sind an einem Vormittag anzustoßen:

• Betroffenheit klären: Größe, Sektor, Lieferkettenbezug. Im Zweifel mit fachlicher Unterstützung, die Einstufung ist nicht immer eindeutig.
• Registrierung nachholen: Falls betroffen, sofort im BSI-Portal melden — verspätet ist besser als gar nicht.
• Maßnahmen planen: Ein realistischer Fahrplan für die Sicherheitspflichten, priorisiert nach Risiko statt nach Papierlage.

Sie sind unsicher, ob NIS2 Sie betrifft? Wir klären das mit Ihnen, ordnen den Stand ein und zeigen, welche Maßnahmen für Ihr Unternehmen verhältnismäßig sind — verständlich und ohne Panikmache. Eine verpasste Frist ist unangenehm, aber reparabel; ein ignorierter Sachverhalt wird teuer.