BSI‑Registrierung nach NIS‑2: Was Sie jetzt wissen und tun müssen
Das NIS‑2‑Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen — und trotzdem haben sich bis heute weniger als 10 % der rund 29.500 verpflichteten Unternehmen registriert. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, wie Sie die Registrierung sauber nachholen und welche Pflichten danach auf Sie warten — mit klaren Bezügen zu DSGVO und ISO 27001.
1. Sind Sie überhaupt betroffen?
Das BSI prüft die Betroffenheit nicht automatisch. Sie müssen selbst entscheiden, ob Ihr Unternehmen unter NIS‑2 fällt — und diese Entscheidung schriftlich dokumentieren, auch wenn sie negativ ausfällt. Aus Datenschutz-Sicht entspricht das der Logik einer DSGVO-Rechenschaftspflicht (Art. 5 Abs. 2): nicht nur „compliant sein“, sondern auch nachweisen können.
Die Faustregel
Sie sind betroffen, wenn beides zutrifft:
- Ihr Unternehmen gehört zu einem der 18 regulierten Sektoren (u.a. Energie, Transport, Gesundheit, digitale Infrastruktur, IT‑Dienstleister, verarbeitendes Gewerbe, Post, Abfallwirtschaft, Lebensmittel, Chemie, Forschung)
- Sie haben mindestens 50 Mitarbeitende oder mehr als 10 Mio. € Jahresumsatz
Bei der Schwellenwertberechnung zählen Partnerunternehmen und verbundene Unternehmen nach EU-KMU-Empfehlung mit. Ein Mittelständler mit 30 Mitarbeitern kann gemeinsam mit seiner Holding-Struktur über den Schwellen liegen. Diese Prüfung wird häufig falsch gemacht.
Größenunabhängig betroffen
Unabhängig von der Unternehmensgröße sind insbesondere verpflichtet:
- Anbieter öffentlicher Telekommunikationsnetze und ‑dienste
- DNS-Resolver und TLD-Registries
- Vertrauensdiensteanbieter nach eIDAS
- Betreiber kritischer Anlagen nach BSI-KritisV
Nutzen Sie die offizielle Betroffenheitsprüfung des BSI unter betroffenheitspruefung-nis-2.bsi.de und speichern Sie das Ergebnis als PDF — das ist bei einer späteren Aufsichtsmaßnahme Ihr erster Nachweis, dass Sie sich mit dem Thema auseinandergesetzt haben.
2. „Wichtig“ oder „besonders wichtig“?
NIS‑2 unterscheidet zwei Einstufungen, die sich auf Aufsicht und Bußgeldrahmen auswirken. Sie müssen sich selbst einstufen — bei der Registrierung im BSI-Portal wird das abgefragt.
3. Registrierung in 5 Schritten
Der Prozess ist zweistufig: erst ELSTER + „Mein Unternehmenskonto“ (MUK), dann die eigentliche Registrierung im BSI-Portal. Planen Sie mindestens 1–2 Wochen Vorlauf ein, wenn Sie noch kein ELSTER‑Organisationszertifikat haben.
ELSTER-Organisationszertifikat beschaffen
Ohne ELSTER-Zertifikat kein Zugriff. Prüfen Sie zuerst, ob in Ihrem Unternehmen schon eines existiert — häufig in der Steuerabteilung oder beim Steuerberater. Falls nein: unter mein-unternehmenskonto.de beantragen. Die Aktivierungs-ID kommt per Post, das dauert typischerweise 5–10 Werktage.
Voraussetzung: deutsche Steuernummer.
„Mein Unternehmenskonto“ (MUK) einrichten
Mit dem ELSTER-Zertifikat legen Sie bei MUK ein behördenübergreifendes Unternehmenskonto an. Das MUK ist die Authentifizierungsbasis für alle Behördendienste, einschließlich des BSI-Portals.
Pro Person ein eigenes ELSTER-Zertifikat. Wenn später jemand außer Ihnen Vorfälle im BSI-Portal melden können soll, braucht diese Person ebenfalls ein eigenes Zertifikat. Planen Sie das früh — sonst hängt Ihr Notfallprozess an einer einzelnen Person.
Betroffenheitsprüfung dokumentieren
Bevor Sie sich registrieren: dokumentieren Sie Ihre Selbsteinstufung schriftlich. Sektor, Einrichtungsart, Mitarbeiterzahl, Umsatz, Verbundbetrachtung — alles kommentiert und unterschrieben (Geschäftsleitung). Das ist bei Streitfragen mit der Aufsicht Ihr wichtigster Nachweis. Analog zur Rechenschaftspflicht in Art. 5 DSGVO.
Registrierung im BSI-Portal
Unter portal.bsi.bund.de melden Sie sich mit Ihrer MUK-Identität an und legen Ihre Einrichtung an. Welche Angaben gefragt sind, finden Sie im nächsten Abschnitt.
Nach Abschluss wird Ihre Einrichtung offiziell im BSI-System erfasst — ab diesem Zeitpunkt unterliegen Sie der aktiven BSI-Aufsicht.
Daten aktuell halten
Änderungen an Registrierungsdaten müssen innerhalb von zwei Wochen im Portal nachgezogen werden. Das ist eine Dauerpflicht, kein einmaliger Akt.
4. Diese Angaben brauchen Sie bereit
Halten Sie die folgenden Informationen griffbereit, bevor Sie die Registrierung starten. Ohne 24/7-Kontaktstelle kommen Sie nicht durch den Prozess.
Unternehmensstammdaten
- Firmenname, Rechtsform, Anschrift, Handelsregisternummer
- Mitarbeiterzahl, Jahresumsatz, Bilanzsumme
- Sektor und Branche nach NIS‑2
- Einrichtungsart: „besonders wichtig“ oder „wichtig“
- Betroffene EU-Mitgliedsstaaten und zuständige Aufsichtsbehörden
NIS-2-Kontaktstelle
- Organisationseinheit / Abteilung
- Anschrift (vorausgefüllt aus ELSTER, änderbar)
- Mindestens eine Telefonnummer im internationalen Format
- Funktionspostfach als E-Mail (keine persönliche Adresse!) — z.B. [email protected]
Die Kontaktstelle muss rund um die Uhr erreichbar sein, um BSI-Warnungen entgegenzunehmen und Vorfälle zu melden. Das gilt auch an Wochenenden und Feiertagen. Richten Sie vorher eine Rufbereitschaft und Vertretungsregelung ein.
NIS-2-Kontaktperson
- Name, Funktion / Rolle
- Telefonnummer, E-Mail
- Muss zum Thema NIS‑2 aussagefähig sein
Informieren Sie die Kontaktperson vorher. Es kommt regelmäßig vor, dass Mitarbeitende erst aus einem BSI-Schreiben erfahren, dass sie offizielle Kontaktperson sind. Das ist nicht nur unhöflich, sondern auch ein Organisationsfehler — vergleichbar mit einer DSB-Benennung ohne vorherige Abstimmung.
Ggf. technische Angaben
- Öffentlich erreichbare IP-Adressbereiche (wenn vorhanden)
- Domain-Informationen bei DNS-Diensten
5. Nach der Registrierung — die eigentliche Arbeit beginnt
Die Registrierung ist nicht das Ziel, sondern der Eintrittsstempel in die Aufsicht. Folgende Pflichten gelten ab sofort:
- Risikomanagement nach §30 BSIG — 10 Mindestmaßnahmen, siehe unten
- Meldepflicht nach §32 BSIG — 24h / 72h / 1 Monat
- Schulungspflicht Geschäftsleitung nach §38 BSIG — verpflichtende Cybersecurity-Schulungen
- Dokumentation — alles muss prüfbar sein (parallel zur DSGVO-Rechenschaftspflicht)
- Laufende Datenpflege im BSI-Portal (2-Wochen-Frist bei Änderungen)
6. Meldepflicht bei erheblichen Sicherheitsvorfällen
Bei einem erheblichen Vorfall beginnt eine dreistufige Uhr — die Fristen sind nicht verhandelbar. Wer schon eine DSGVO-Datenpannenmeldung (Art. 33) aufgesetzt hat, kennt das Prinzip; NIS-2 verlangt jedoch parallele Meldewege an das BSI.
Wird eine Frist nicht eingehalten, wird das Unternehmen so behandelt, als hätte es gar nicht gemeldet — mit voller Bußgeld-Konsequenz.
7. Die 10 Pflichtmaßnahmen nach §30 BSIG
Unabhängig von Ihrer Größe müssen Sie folgende zehn Maßnahmenbereiche umsetzen und nach dem Stand der Technik halten. Die Liste orientiert sich eng an ISO/IEC 27001 — wer ein ISMS betreibt, hat hier einen klaren Startvorteil.
- Risikoanalyse & Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen — Incident Response inkl. 24/72h/1M-Meldewege
- Business Continuity & Krisenmanagement — Backup, Disaster Recovery, Wiederanlauf
- Sicherheit der Lieferkette — Bewertung und Absicherung von Dienstleistern (analog zur DSGVO-Auftragsverarbeitung)
- Sicherheit bei Beschaffung, Entwicklung und Wartung — einschließlich Schwachstellenmanagement
- Wirksamkeitsbewertung — regelmäßige Überprüfung der Maßnahmen
- Cyber-Hygiene & Schulungen — Awareness-Programme
- Kryptografie & Verschlüsselung — Richtlinien und Umsetzung
- Personal-, Zugriffs- und Asset-Management — Berechtigungskonzepte, Principle of Least Privilege
- Multi-Faktor-Authentifizierung & sichere Kommunikation
Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, erfüllt erfahrungsgemäß 70–80 % der NIS‑2-Anforderungen. Die verbleibenden 20–30 % sind NIS‑2-spezifisch: BSI-Registrierung, Meldeverfahren nach §32, Geschäftsleitungspflichten nach §38. Auch ein DSGVO-Compliance-Programm liefert Bausteine wie Verarbeitungsverzeichnis, TOMs und Datenpannenmeldewege.
8. Persönliche Haftung der Geschäftsleitung
NIS‑2 adressiert die Leitungsebene direkt. Geschäftsführer und Vorstände sind persönlich dafür verantwortlich, dass die Risikomanagement-Maßnahmen umgesetzt und überwacht werden. Delegation an die IT-Abteilung entbindet nicht — vergleichbar mit der Verantwortlichenrolle nach Art. 24 DSGVO.
Konkrete Pflichten
- Billigung und Überwachung der Risikomanagement-Maßnahmen
- Verpflichtende Cybersecurity-Schulungen für alle Geschäftsleitungsmitglieder (keine Übergangsfrist)
- Dokumentierte Teilnahme an Schulungen — Teilnehmerlisten, Inhalte, Datum
Bei Pflichtverletzungen droht die persönliche Haftung mit dem Privatvermögen. Eine D&O-Versicherung deckt NIS‑2-Verstöße nicht automatisch — prüfen Sie Ihren Vertrag und ergänzen Sie ggf. eine Cyber-Police.
9. Typische Stolperfallen aus der Praxis
10. Checkliste — was Sie jetzt tun sollten
Arbeiten Sie diese Liste von oben nach unten ab. Für die meisten Punkte brauchen Sie keine externe Unterstützung.
Sofort (Woche 1)
- Betroffenheitsprüfung über betroffenheitspruefung-nis-2.bsi.de durchführen
- Ergebnis als PDF speichern, Geschäftsleitung unterzeichnen lassen
- Bestehende ELSTER-Organisationszertifikate im Unternehmen finden
- Falls nicht vorhanden: ELSTER-Zertifikat beantragen
- Verbundbetrachtung: Partner- und Tochterunternehmen einrechnen
Woche 2–3
- „Mein Unternehmenskonto“ (MUK) einrichten
- NIS-2-Kontaktstelle definieren (Funktionspostfach einrichten)
- 24/7-Rufbereitschaft und Vertretungsregelung festlegen
- NIS-2-Kontaktperson benennen und schriftlich informieren
- Registrierung im BSI-Portal (portal.bsi.bund.de) abschließen
Monat 2–3
- Gap-Analyse gegen die 10 Pflichtmaßnahmen aus §30 BSIG
- Incident-Response-Prozess inkl. 24/72h/1M-Meldewegen aufsetzen
- Lieferkettensicherheit bewerten (AVV mit Dienstleistern parallel prüfen)
- Geschäftsleitungs-Schulung Cybersecurity planen und dokumentieren
- Dokumentationssystem für Risiken, Maßnahmen und Vorfälle einrichten
Laufend
- Änderungen der Registrierungsdaten innerhalb 2 Wochen nachziehen
- Wirksamkeit der Maßnahmen mindestens jährlich überprüfen
- Awareness-Trainings für Mitarbeitende durchführen
- Bußgeldrelevante Dokumente revisionssicher ablegen
NIS-2, DSGVO und ISO 27001 — wie hängt das zusammen?
Die drei Regelwerke überschneiden sich erheblich. Wer eine Disziplin sauber aufgesetzt hat, spart bei den anderen massiv Aufwand. Unser Ansatz: ein integriertes Management-System statt drei parallele Silos.
Häufige Fragen zur NIS-2-Registrierung
Bin ich noch zur Registrierung verpflichtet, obwohl die Frist abgelaufen ist?
Ja. Die Pflicht besteht weiter. Eine verspätete Registrierung ist immer besser als keine.
Reicht ein ISO-27001-ISMS für NIS-2 aus?
Ein ISO-27001-ISMS deckt erfahrungsgemäß 70 bis 80 Prozent der NIS-2-Anforderungen ab. Die verbleibenden 20 bis 30 Prozent sind NIS-2-spezifisch: BSI-Registrierung, Meldeverfahren nach §32 und Geschäftsleitungspflichten nach §38.
Welche Verbindung gibt es zwischen NIS-2 und DSGVO?
Beide Regelwerke verlangen technisch-organisatorische Maßnahmen, Risikoanalysen, Meldepflichten und Schulungen. Wer ein DSGVO-konformes Datenschutzmanagement betreibt, hat eine solide Basis für NIS-2 — aber NIS-2 fordert zusätzliche IT-Security-Kontrollen wie MFA, Kryptorichtlinie und Incident Response.
Wie hoch ist das Bußgeld bei Verstößen?
Für besonders wichtige Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Umsatzes. Für wichtige Einrichtungen bis 7 Mio. € oder 1,4 %. Nicht-Registrierung ist ein eigenständiger Tatbestand.
Brauchen Sie Hilfe bei der NIS-2-Umsetzung?
Unsere Software vereinfacht ISO 27001-konformes ISMS und NIS-2-Compliance — inklusive Verarbeitungsverzeichnis, TOMs, Risikoanalyse, Maßnahmen-Tracking und Audit-Vorbereitung. Pragmatisch, mandantenfähig und ohne Beratersprech.
Prüfen Sie systematisch, ob Ihr Unternehmen alle NIS2-Anforderungen erfüllt. Mit automatischer Gap-Analyse und priorisiertem Maßnahmenplan.
Dieser Leitfaden ersetzt keine Rechtsberatung. Stand: April 2026. Quellen: BSIG §§ 28, 30, 32, 33, 38; offizielle BSI-Betroffenheitsprüfung. Bei Unsicherheiten zur NIS‑2-Betroffenheit oder Umsetzung wenden Sie sich an Ihren Rechtsberater oder vereinbaren Sie ein unverbindliches Beratungsgespräch.