Mit Inkrafttreten des NIS2-Umsetzungsgesetzes mussten sich betroffene Unternehmen innerhalb von drei Monaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die ursprüngliche Registrierungsfrist endete bereits am 6. März 2026.
Die Realität zeigt jedoch: Viele Unternehmen haben diese Pflicht bislang nicht erfüllt. Medienberichten zufolge liegt die Zahl der Registrierungen deutlich unter den Erwartungen des BSI. Bis Ende Mai hätten sich von den vermutlich in den Geltungsbereich des NIS2-Umsetzunggesetzes fallenden 30.000 Unternehmen lediglich 18.500 Einrichtungen registriert. Deshalb hat die Behörde nun reagiert und fordert betroffene Unternehmen auf, die Registrierung bis spätestens Ende Juli nachzuholen. Gleichzeitig wird der Ton deutlich schärfer. Die Botschaft lautet sinngemäß: Wer bislang nicht gehandelt hat, sollte dies jetzt unverzüglich tun. Die Behörde machte deutlich, dass bei anhaltenden Verstößen Bußgelder möglich seien. Diese könnten bis zu 500.000 Euro betragen.
Registrierung ist kein Selbstzweck
In vielen Unternehmen wird die Registrierung noch immer als bürokratische Formalität wahrgenommen. Tatsächlich ist sie jedoch der offizielle Einstieg in das Aufsichtsregime der NIS2-Regulierung.
Über die Registrierung erhält das BSI die relevanten Ansprechpartner des Unternehmens und schafft die Grundlage für Meldepflichten, Kommunikation mit der Aufsichtsbehörde und mögliche Prüfungen. Wer registrierungspflichtig ist und dieser Verpflichtung nicht nachkommt, verstößt gegen eine gesetzliche Pflicht – unabhängig davon, ob bereits ein Sicherheitsvorfall eingetreten ist.
„Die Registrierung ist vergleichsweise einfach umzusetzen. Deutlich anspruchsvoller sind die organisatorischen und technischen Maßnahmen, die NIS2 von den betroffenen Unternehmen verlangt.“
Die größere Gefahr liegt woanders
Aus Sicht von Ratisbona Compliance liegt das eigentliche Risiko jedoch nicht in der Registrierung selbst. „Die Registrierung ist vergleichsweise einfach umzusetzen. Deutlich anspruchsvoller sind die organisatorischen und technischen Maßnahmen, die NIS2 von den betroffenen Unternehmen verlangt. Dazu gehören unter anderem Risikomanagementprozesse, Sicherheitsrichtlinien, Verantwortlichkeiten, Schulungen, Meldeprozesse und zahlreiche weitere Maßnahmen der Informationssicherheit“, erklärt Matthias Haßler, Geschäftsführer Ratisbona Compliance.
Wer die Registrierung bislang versäumt hat, sollte sich deshalb nicht nur fragen, ob die Meldung an das BSI erfolgt ist. Die wichtigere Frage lautet: Wie ist mein Unternehmen mit Blick auf NIS2 aufgestellt?
Denn die Registrierung dokumentiert lediglich, dass ein Unternehmen im Anwendungsbereich der Regulierung liegt. Sie ersetzt keine Sicherheitsmaßnahmen und schützt weder vor Cyberangriffen noch vor möglichen Haftungsrisiken der Geschäftsleitung.
Warum Geschäftsführer jetzt handeln sollten
NIS2 ist keine reine IT-Vorgabe. Die Verantwortung wird ausdrücklich auf Ebene der Geschäftsleitung verankert. Geschäftsführer und Vorstände müssen nachweisen können, dass sie sich mit den Anforderungen auseinandergesetzt haben, geeignete Maßnahmen beschlossen wurden und deren Umsetzung überwacht wird. Wer das Thema weiterhin aufschiebt, erhöht nicht nur das Risiko regulatorischer Maßnahmen, sondern auch das eigene Haftungsrisiko.
Die aktuelle Nachfrist des BSI sollte daher nicht als „verlängerte Schonfrist“ verstanden werden. Vielmehr zeigt sie, dass die Aufsichtsbehörde begonnen hat, die Umsetzung der gesetzlichen Anforderungen aktiv einzufordern.
Unser Fazit
Die neue Frist bis Ende Juli ist vor allem ein Warnsignal. Unternehmen, die ihre Registrierung bislang noch nicht vorgenommen haben, sollten dies kurzfristig nachholen oder die Aufgaben in die Hände eines erfahrenen Dienstleisters übergeben.
Noch wichtiger ist jedoch, dass die erforderlichen organisatorischen und technischen Maßnahmen umgesetzt werden. Denn die eigentliche Herausforderung von NIS2 beginnt nicht mit der Registrierung – sondern erst danach.
Wer sich unsicher ist, ob das eigene Unternehmen betroffen ist oder wie weit der Umsetzungsstand tatsächlich fortgeschritten ist, sollte die verbleibende Zeit nutzen, um Klarheit zu schaffen. Je länger Unternehmen warten, desto schwieriger wird eine strukturierte und rechtssichere Umsetzung.