NIS2-Registrierung beim BSI: Schritt für Schritt

Wer muss sich beim BSI registrieren?

Registrieren müssen sich alle besonders wichtigen und wichtigen Einrichtungen nach § 33 BSIG – und zwar jede Einrichtung selbst. Die Pflicht entsteht, sobald Ihr Unternehmen erstmals oder erneut unter eine der beiden Kategorien fällt. Das BSI fordert niemanden dazu auf: Sie müssen die Betroffenheit selbst feststellen.

Ob Ihr Unternehmen dazugehört, klärt der Artikel Wer von NIS2 betroffen ist; für eine schnelle Einschätzung genügt der NIS2-Check. In Unternehmensgruppen gilt: Die Betroffenheit wird je Gesellschaft geprüft, und jede betroffene Gesellschaft registriert sich einzeln.

Betreiber kritischer Anlagen registrieren zusätzlich die Anlage selbst; seit dem KRITIS-Dachgesetz richtet sich das nach dessen § 8, auf den § 33 Abs. 2 BSIG verweist. Für alle anderen Einrichtungen bleibt es bei der Registrierung nach § 33 Abs. 1 BSIG.

Auch Finanzunternehmen, die unter DORA fallen, müssen sich beim BSI registrieren. Die Ausnahmeregelung in § 28 Abs. 6 BSIG zählt § 33 BSIG nicht mit auf. Wenn Sie bei Ihrer Einordnung unsicher sind, ordnet die Registrierungsbegleitung von GEFIM die Ausgangslage ein und bereitet die Angaben mit Ihnen vor – registrieren muss sich Ihr Unternehmen selbst.

Bis wann – und ist die Frist abgelaufen?

Die Frist beträgt drei Monate ab dem Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als wichtig oder besonders wichtig gilt. Für Unternehmen, die schon am 6. Dezember 2025 betroffen waren, ist sie seit März 2026 abgelaufen. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist, und fordert Betroffene auf, die Registrierung umgehend nachzuholen.

Im Juni 2026 hat das BSI die Wirtschaftsverbände angeschrieben und erwartet, dass noch ausstehende Registrierungen bis zum 31.07.2026 abgeschlossen werden. Das ist über Berichte der Fachpresse vom Juni 2026 belegt, also über Sekundärquellen, nicht über eine Veröffentlichung des BSI. Es war keine gesetzliche Fristverlängerung, sondern eine behördliche Erwartung. Eine Übergangsfrist gibt es nicht.

Wer erst später betroffen wird – etwa durch Wachstum über die Schwellenwerte –, hat eine eigene Frist von drei Monaten ab Eintritt der Betroffenheit. Bei den Größenschwellen ist das nach dem zweiten Jahr der Überschreitung der Fall.

Wie läuft die Registrierung ab?

In zwei Schritten: zuerst ein Konto bei „Mein Unternehmenskonto“ mit einem ELSTER-Organisationszertifikat, danach die eigentliche Registrierung im BSI-Portal. Das Portal ist seit dem 06.01.2026 freigeschaltet. Planen Sie Zeit ein: Der Aktivierungsbrief kommt per Post und braucht regelmäßig mindestens fünf Werktage.

1. Voraussetzungen klären: deutsche Steuernummer vorhanden? Wer im Unternehmen darf das Konto beantragen? Wer wird NIS2-Kontaktstelle?
2. ELSTER-Organisationszertifikat beschaffen und „Mein Unternehmenskonto“ einrichten. Ein Sitz in Deutschland ist nicht nötig, eine deutsche Steuernummer schon.
3. Aktivierungsbrief abwarten. Er geht per Post an die hinterlegte Adresse; rechnen Sie mit mindestens fünf Werktagen und klären Sie vorab, wer ihn entgegennimmt.
4. Angaben zusammenstellen (siehe Checkliste unten) und im BSI-Portal die Registrierung ausfüllen.
5. Bestätigung sichern und Wiedervorlage setzen: Bestätigung zu den Nachweisen legen, Zuständige für Änderungsmeldungen benennen, Termin für die jährliche Überprüfung der Angaben eintragen.

Zwei organisatorische Punkte entscheiden über das Tempo: Wer im Unternehmen darf das Unternehmenskonto beantragen und Berechtigungen vergeben – und wer hat Zugriff, wenn diese Person im Urlaub ist? Klären Sie beides vorab und benennen Sie eine Vertretung. Die NIS2-Kontaktstelle sollte erreichbar sein, auch außerhalb des Tagesgeschäfts.

Welche Angaben braucht das BSI?

§ 33 Abs. 1 BSIG listet die Pflichtangaben auf. Dazu gehören Name, Rechtsform und Handelsregisternummer, die Anschrift und aktuelle Kontaktdaten einschließlich der öffentlichen IP-Adressbereiche, Sektor und Branche, die EU-Staaten, in denen Dienste erbracht werden, und die zuständigen Aufsichtsbehörden. Das BSI erhebt zusätzlich die Unternehmensgröße sowie eine NIS2-Kontaktstelle.

Diese Angaben sollten Sie bereithalten

• Name, Rechtsform, Handelsregisternummer und Registergericht
• Anschrift der Hauptniederlassung und Kontaktdaten
• öffentliche IP-Adressbereiche – die kennt in der Regel nur die IT oder Ihr Provider
• Sektor und Branche nach Anlage 1 oder 2 BSIG sowie die Einrichtungsart
• EU-Mitgliedstaaten, in denen Sie Dienste erbringen
• zuständige Aufsichtsbehörden, soweit vorhanden
• Unternehmensgröße: Jahresarbeitseinheiten, Umsatz, Bilanzsumme
• NIS2-Kontaktstelle und Kontaktperson mit Vertretung
• deutsche Steuernummer beziehungsweise Ordnungskriterium

Erfahrungsgemäß hält genau ein Punkt die Registrierung auf: die öffentlichen IP-Adressbereiche. Fragen Sie sie früh bei Ihrem IT-Dienstleister ab, dann läuft der Rest zügig.

Was passiert, wenn wir zu spät sind?

Die Pflicht besteht fort, und die Registrierung ist sofort nachzuholen. Eine nicht, nicht richtig oder nicht rechtzeitig vorgenommene Registrierung ist eine Ordnungswidrigkeit; der Bußgeldrahmen reicht bis 500.000 € (§ 65 BSIG). Ob das BSI verfolgt, liegt in seinem Ermessen – im Ordnungswidrigkeitenrecht gilt das Opportunitätsprinzip.

Wenn Sie feststellen, dass Ihr Unternehmen längst registriert sein müsste, hat sich dieses Vorgehen bewährt:

1. Betroffenheit sauber feststellen und datieren. Seit wann trifft die Einordnung zu? Halten Sie Sektor, Größenwerte und Begründung schriftlich fest – das ist auch die Grundlage für die Angaben im Portal.
2. Registrierung ohne Umweg nachholen. Parallel das Unternehmenskonto beantragen und die Angaben zusammenstellen, statt beides nacheinander zu erledigen.
3. Die übrigen Pflichten nicht vergessen. Meldewege, Maßnahmen nach § 30 BSIG und die Schulung der Geschäftsleitung gelten unabhängig von der Registrierung – auch rückwirkend seit dem 6. Dezember 2025.

Nüchtern betrachtet ist die Registrierung der einfachste Teil der NIS2-Pflichten – und derjenige, dessen Fehlen am schnellsten auffällt. Wer noch nicht registriert ist, sollte das nicht aufschieben. Was danach ansteht, ordnen wir im kostenlosen Erstgespräch mit Ihnen ein.

Wer muss sich zusätzlich nach § 34 BSIG registrieren?

Für bestimmte Einrichtungsarten der digitalen Wirtschaft gilt zusätzlich eine besondere Registrierungspflicht nach § 34 BSIG. Erfasst sind DNS-Diensteanbieter, TLD-Registries, Cloud-Computing-Dienste, Rechenzentrumsdienste, Content Delivery Networks, Managed Service Provider und Managed Security Service Provider sowie Online-Marktplätze, Online-Suchmaschinen und Plattformen für soziale Netzwerke.

Zuständig ist der Mitgliedstaat der Hauptniederlassung. Für Unternehmensgruppen ist das relevant, weil eine konzerninterne IT-Gesellschaft mit administrativem Zugriff auf andere Konzerngesellschaften nach Auffassung des BSI ein Managed Service Provider ist – und damit selbst in diese Gruppe fallen kann.

Müssen Änderungen gemeldet werden?

Ja. Änderungen der registrierten Angaben sind unverzüglich, spätestens binnen zwei Wochen zu übermitteln (§ 33 Abs. 5 BSIG). Eine Besonderheit gilt derzeit noch: Wegen der Übergangsvorschrift in § 66 BSIG ist die alte Fassung von § 33 Abs. 5 weiter anzuwenden, bis die Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft ist.

Danach übermitteln Betreiber kritischer Anlagen ihre Versorgungskennzahlen und die Typen kritischer Komponenten weiterhin einmal jährlich; alle übrigen Angaben gehen binnen zwei Wochen an das BSI. Praktisch heißt das: Benennen Sie eine verantwortliche Person und prüfen Sie die Angaben mindestens einmal im Jahr – typische Auslöser sind ein Wechsel der Kontaktperson, neue IP-Bereiche und Änderungen im Handelsregister.

Gilt die Meldepflicht schon vor der Registrierung?

Ja. Die Pflicht, erhebliche Sicherheitsvorfälle zu melden, hängt nicht an der Registrierung (§ 32 BSIG). Wer noch nicht im BSI-Portal registriert ist, meldet über das bereitgestellte Online-Formular. Die Fristen gelten unverändert: frühe Erstmeldung spätestens nach 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.

Den Ablauf und die Vorbereitung im Unternehmen beschreibt der Artikel NIS2-Meldepflicht: Fristen und Ablauf. Wichtig ist vor allem, dass der Meldeweg vor dem ersten Vorfall steht – mitten im Vorfall ist es zu spät, ihn zu suchen.