NIS2-Registrierungsfrist beim BSI läuft bis 31. Juli 2026
- 13. Juli
- 3 Min. Lesezeit
Die Umsetzung der europäischen NIS2-Richtlinie in Deutschland nimmt Fahrt auf. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) mahnt betroffene Einrichtungen deutlich zur Eile. Wer registrierungspflichtig ist, sich aber noch nicht beim BSI gemeldet hat, muss dies bis Ende Juli 2026 nachholen. In diesem Beitrag erfahren Sie, wer betroffen ist, welche Fristen gelten und wie Sie jetzt Schritt für Schritt vorgehen.
Was ist passiert? Die neue BSI-Frist im Überblick
Seit Dezember 2025 sind „besonders wichtige“ und „wichtige“ Einrichtungen gesetzlich verpflichtet, sich beim BSI zu registrieren. Die ursprüngliche Frist lief Anfang März 2026 aus. Doch die Registrierungszahlen blieben deutlich hinter den Erwartungen zurück.
Anfang März 2026 hatten sich erst rund 11.500 Unternehmen registriert.
Bis Ende Mai 2026 stieg die Zahl auf knapp 18.500 Einrichtungen und damit weniger als erwartet.
Nach BSI-Schätzungen fehlen damit noch mehrere Tausend Registrierungen.
Für ausstehende Meldungen gilt nun eine Nachfrist bis zum 31. Juli 2026.
Wer ist von der NIS2-Registrierungspflicht betroffen?
NIS2 erweitert den Kreis der regulierten Unternehmen erheblich, weit über die klassischen Betreiber kritischer Infrastrukturen hinaus. Betroffen sind grundsätzlich mittlere und große Unternehmen (ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz) in rund 18 Sektoren, darunter:
Energie, Wasser, Abwasser und Abfallwirtschaft
Transport und Verkehr, Gesundheitswesen und Pharma
Digitale Infrastruktur, IT-Dienstleister und Managed Service Provider
Ernährung, Chemie, verarbeitendes Gewerbe und Maschinenbau
Post- und Kurierdienste, Forschung sowie öffentliche Verwaltung
Viele Unternehmen wissen gar nicht, dass sie unter NIS2 fallen. Gerade Zulieferer und Dienstleister größerer Konzerne werden über die Lieferkette häufig ebenfalls in die Pflicht genommen.
Welche Bußgelder drohen bei Verstößen?
Wer die Registrierung versäumt, begeht eine Ordnungswidrigkeit. Die Sanktionen sind erheblich und richten sich nach dem BSI-Gesetz (BSIG):
Für die verspätete oder unterlassene Registrierung sind bis zu 500.000 Euro möglich (§ 65 BSIG).
Bei Verstößen gegen Risikomanagement- und Meldepflichten drohen besonders wichtigen Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Wichtige Einrichtungen müssen mit bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes rechnen.
Nach § 38 BSIG kann zudem die Geschäftsleitung persönlich für die Umsetzung und Überwachung der Maßnahmen haften.
Ihre nächsten Schritte zur NIS2-Konformität
Die Registrierung ist nur der erste Schritt. NIS2 verlangt zusätzlich ein wirksames Risikomanagement, Meldeprozesse für Sicherheitsvorfälle und den Nachweis technischer und organisatorischer Maßnahmen. So gehen Sie vor:
Prüfen Sie anhand von Sektor, Mitarbeiterzahl und Umsatz, ob Ihr Unternehmen unter NIS2 fällt.
Melden Sie Ihre Einrichtung fristgerecht über das BSI-Portal, spätestens bis zum 31. Juli 2026.
Analysieren Sie den Ist-Zustand Ihrer IT-Sicherheit und identifizieren Sie bestehende Lücken.
Setzen Sie die nötigen Maßnahmen um, etwa Risikomanagement, Notfallplanung, Zugriffskontrollen und Lieferketten-Sicherheit.
Richten Sie Meldeprozesse ein, damit Sicherheitsvorfälle fristgerecht an das BSI gemeldet werden können.
Dokumentieren Sie alle Maßnahmen revisionssicher.
3 typische Fehler bei der NIS2-Registrierung und wie Sie sie vermeiden
Aus der Praxis sehen wir immer wieder die gleichen Stolpersteine. Wer sie kennt, spart Zeit, Nerven und Bußgeldrisiko.
Sich fälschlich für nicht betroffen halten
NIS2 geht weit über klassische KRITIS-Betreiber hinaus. Auch Zulieferer, IT-Dienstleister und Hersteller werden erfasst, oft schon ab 50 Beschäftigten. Verlassen Sie sich nicht auf ein Bauchgefühl, sondern prüfen Sie Ihre Einstufung anhand von Sektor, Größe und Lieferkette.
Die Registrierung als einmalige Formalität behandeln
Die Meldung beim BSI ist nur der Startpunkt. Ohne funktionierendes Risikomanagement, Notfallprozesse und Nachweisdokumentation bleibt die Compliance unvollständig, und genau das wird im Ernstfall geprüft.
Bis kurz vor Fristende warten
Betroffenheitsprüfung, interne Abstimmung und technische Maßnahmen brauchen Vorlauf. Wer erst Ende Juli startet, gerät unnötig unter Druck. Beginnen Sie jetzt, dann bleibt Zeit für eine saubere Umsetzung.
Fazit: Jetzt handeln statt Bußgeld riskieren
Die Nachfrist bis Ende Juli 2026 ist ein klares Signal. Das BSI erwartet, dass betroffene Unternehmen ihre Pflichten ernst nehmen. Wer jetzt handelt, vermeidet nicht nur Bußgelder, sondern stärkt auch die eigene Widerstandsfähigkeit gegen Cyberangriffe. secom IT begleitet Sie von der Betroffenheitsprüfung über die Registrierung bis zur vollständigen NIS2-Umsetzung.
FAQ: Häufige Fragen zur NIS2-Registrierung
Bis wann muss ich mein Unternehmen beim BSI registrieren?
Ausstehende Registrierungen müssen bis zum 31. Juli 2026 beim BSI erfolgen. Diese Frist gilt für alle betroffenen Einrichtungen, die der Registrierungspflicht bislang nicht nachgekommen sind.
Was kostet es, wenn ich die Frist verpasse?
Eine unterlassene oder verspätete Registrierung kann mit einem Bußgeld von bis zu 500.000 Euro geahndet werden. Bei Verstößen gegen weitere NIS2-Pflichten drohen deutlich höhere Sanktionen.
Woher weiß ich, ob mein Unternehmen betroffen ist?
Maßgeblich sind Ihr Sektor, Ihre Mitarbeiterzahl und Ihr Jahresumsatz. Da die Einstufung im Detail komplex ist, empfiehlt sich eine fachkundige Betroffenheitsprüfung. secom IT unterstützt Sie dabei.
Reicht die Registrierung allein aus?
Nein. Die Registrierung ist die formale Pflicht. Zusätzlich müssen Sie technische und organisatorische Sicherheitsmaßnahmen umsetzen, Meldeprozesse etablieren und diese dokumentieren.
Kommentare