NIS2: Die BSI-Registrierung läuft am 31. Juli ab — sind Sie betroffen?

Worum geht es bei der NIS2-Registrierung?

NIS2 ist die EU-Richtlinie zur Cybersicherheit, die über das nationale Umsetzungsgesetz für viele Unternehmen verbindlich wird. Ihr Ziel ist, das Sicherheitsniveau in wichtigen Wirtschaftsbereichen anzuheben. Ein erster, sehr konkreter Schritt ist die Registrierungspflicht beim BSI: Betroffene Organisationen müssen sich bis zum 31. Juli 2026 im BSI-Portal melden und dort Kontakt- und Basisdaten hinterlegen.

Neu ist vor allem die Breite: Schätzungen gehen von rund 29.500 betroffenen Unternehmen aus — deutlich mehr als unter der Vorgängerregelung, die nur einen engen Kreis kritischer Infrastrukturen erfasste. Viele der jetzt Betroffenen fallen zum ersten Mal unter solche Pflichten und wissen es schlicht noch nicht — genau das macht die Frist so tückisch.

Sind Sie überhaupt betroffen?

Zwei Dinge entscheiden: Größe und Sektor. Grob gilt die Schwelle ab etwa 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz — kombiniert mit der Zugehörigkeit zu einem als „wesentlich" oder „wichtig" eingestuften Sektor. Dazu zählen unter anderem Energie, Gesundheit, Trinkwasser und Abwasser, Ernährung, verarbeitendes Gewerbe, digitale Dienste, Transport und Entsorgung — eine Liste, die spürbar breiter ist als früher.

Wichtig: Auch wer selbst knapp unter der Schwelle liegt, kann über die Lieferkette in die Pflicht geraten. Beliefern Sie ein betroffenes Unternehmen, wird dieses Ihre Sicherheit vertraglich einfordern — NIS2 wirkt so weit über den unmittelbar erfassten Kreis hinaus. Die Grundlagen, und warum das für Geschäftsführer persönlich brisant ist, haben wir in NIS2 für den Mittelstand ausführlich erklärt.

Was passiert, wenn Sie die Frist verpassen?

Die Registrierung selbst ist bewusst niederschwellig — sie zu ignorieren aber teuer. Bei Verstößen gegen die NIS2-Pflichten drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Und es gibt keine allgemeine Übergangsfrist, auf die man sich herausreden könnte.

Hinzu kommt die persönliche Dimension: NIS2 nimmt die Geschäftsführung ausdrücklich in die Pflicht — Leitungsorgane müssen die Maßnahmen billigen und überwachen, die Verantwortung lässt sich nicht einfach an die IT-Abteilung wegdelegieren. Ebenso wichtig zu wissen: Die Registrierung ist nur der Anfang. Danach folgen die eigentlichen Pflichten — Risikomanagement, technische und organisatorische Maßnahmen sowie Meldepflichten bei Sicherheitsvorfällen.

Was verlangt NIS2 über die Registrierung hinaus?

Die Meldung im BSI-Portal ist nur die Eintrittskarte — die Substanz kommt danach. NIS2 verpflichtet betroffene Unternehmen zu einem angemessenen Risikomanagement und zu konkreten technischen und organisatorischen Maßnahmen: unter anderem Konzepte für Zugriffskontrolle und Verschlüsselung, ein funktionierendes Backup- und Notfallmanagement, sichere Lieferketten und regelmäßige Mitarbeiterschulungen.

Hinzu kommen strenge Meldepflichten: Ein erheblicher Sicherheitsvorfall muss dem BSI sehr kurzfristig gemeldet werden — eine erste Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden. Das setzt voraus, dass Sie Vorfälle überhaupt bemerken; ohne Monitoring und ein durchdachtes Sicherheitskonzept läuft diese Pflicht ins Leere. Die gute Nachricht: Vieles davon ist ohnehin sinnvoll und zahlt unabhängig von NIS2 auf Ihre Widerstandsfähigkeit ein.

Betrachten Sie die Frist deshalb weniger als bürokratische Hürde und mehr als Anlass, den eigenen Sicherheitsstand einmal grundlegend zu ordnen — vieles davon schulden Sie ohnehin Ihren Kunden und Ihrem eigenen Fortbestand.

Was sollten Sie jetzt tun?

Drei Schritte, in dieser Reihenfolge:

• Betroffenheit klären: Prüfen Sie Größe, Sektor und Lieferkettenbezug — im Zweifel mit fachlicher Unterstützung, denn die Einstufung ist nicht immer eindeutig.
• Registrieren: Falls betroffen, die Meldung im BSI-Portal fristgerecht bis zum 31. Juli 2026 erledigen.
• Maßnahmen aufsetzen: Parallel die geforderten Sicherheitsmaßnahmen planen — das ist der Teil, der wirklich Substanz braucht und nicht über Nacht entsteht.

Sie sind unsicher, ob und wie NIS2 Sie betrifft? Wir klären die Betroffenheit mit Ihnen, ordnen die Frist ein und zeigen, welche Maßnahmen für Ihr Unternehmen sinnvoll und verhältnismäßig sind — verständlich und ohne Panikmache. So machen Sie aus einer Pflicht einen echten Sicherheitsgewinn.