NIS2-Registrierung: wer, bis wann, mit welchen Angaben

Wer sich registrieren muss

Registrieren müssen sich nach § 33 BSIG besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister. Ob Ihr Unternehmen dazugehört, ergibt sich aus § 28 BSIG: aus der Einrichtungsart nach den Anlagen 1 und 2 des Gesetzes und aus der Größe.

Daneben nennt § 28 Einrichtungen, die unabhängig von der Größe erfasst sind, etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter und DNS-Diensteanbieter. Für die Schwellenwerte gilt die Empfehlung 2003/361/EG der EU-Kommission; Daten von Partner- und verbundenen Unternehmen werden unter den dort genannten Voraussetzungen nicht hinzugerechnet (§ 28 Abs. 4). Für Betreiber kritischer Anlagen gelten eigene Regeln, die sich mit dem KRITIS-Dachgesetz ändern: Bis eine Rechtsverordnung nach diesem Gesetz in Kraft ist, übermitteln sie nach § 66 BSIG zusätzliche Angaben über die Registrierung nach § 33 BSIG, danach registrieren sie sich nach § 8 KRITIS-Dachgesetz. Dieser Ratgeber behandelt nur die übrigen Einrichtungen.

Halten Sie das Ergebnis der Prüfung schriftlich fest, auch wenn es "nicht betroffen" lautet. Wie Sie dabei vorgehen, beschreibt der Ratgeber FitNIS2-Navigator ausgefüllt: was jetzt?.

Die Fristen

• Registrierung: spätestens drei Monate, nachdem Ihr Unternehmen erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG).
• Änderungen: Ändern sich die Angaben, übermitteln Sie die Änderung unverzüglich, spätestens binnen zwei Wochen ab Kenntnis (§ 33 Abs. 5 BSIG).
• Wenn niemand registriert: Das BSI kann die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vornehmen, wenn die Pflicht nicht erfüllt wird (§ 33 Abs. 3 BSIG).

Für Unternehmen, die schon beim Inkrafttreten des Gesetzes betroffen waren, ist die Frist verstrichen. Das BSI schreibt auf seiner Seite zu NIS-2-regulierten Unternehmen, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist, und ruft alle, die betroffen und noch nicht registriert sind, auf, sich umgehend im BSI-Portal zu registrieren (bsi.bund.de, NIS-2-regulierte Unternehmen, abgerufen am 18.10.2026). Ein verpasster Termin ist also kein Grund, zu warten.

Die Frist beginnt neu, wenn ein Unternehmen später erstmals oder erneut als Einrichtung gilt, etwa weil es über eine Größenschwelle wächst oder eine Tätigkeit aufnimmt, die unter eine Einrichtungsart der Anlagen fällt. Deshalb gehört das Datum, ab dem Ihr Unternehmen als Einrichtung gilt, in die Dokumentation der Betroffenheitsprüfung: Von ihm aus rechnen Sie die drei Monate.

Was droht, wenn die Registrierung fehlt

Wer eine Angabe nach § 33 Abs. 1 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG). Der Bußgeldrahmen dafür reicht bis 500.000 Euro (§ 65 Abs. 5 Nr. 5 BSIG).

Dazu kommt eine Pflicht, die oft übersehen wird: Rechtfertigen Tatsachen die Annahme, dass ein Unternehmen die Registrierungspflicht nicht erfüllt, muss es dem BSI auf Verlangen die für die Bewertung erforderlichen Unterlagen vorlegen und Auskunft erteilen (§ 33 Abs. 4 BSIG). Wer zu dem Ergebnis gekommen ist, nicht betroffen zu sein, sollte die Prüfung deshalb so festhalten, dass er sie vorlegen kann: Einrichtungsart, Zahlen zu Beschäftigten, Umsatz und Bilanzsumme, Begründung, Datum und wer entschieden hat.

Was das Gesetz abfragt

§ 33 Abs. 1 BSIG nennt fünf Angaben:

1. Name der Einrichtung einschließlich Rechtsform und, falls einschlägig, Handelsregisternummer.
2. Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern.
3. Den relevanten Sektor nach Anlage 1 oder 2, falls einschlägig die Branche.
4. Die Mitgliedstaaten der EU, in denen die Einrichtung solche Dienste erbringt.
5. Die zuständigen Aufsichtsbehörden des Bundes und der Länder.

Das BSI-Portal fragt darüber hinaus unter anderem eine NIS-2-Kontaktstelle ab, mit einer oder zwei Telefonnummern im internationalen Format und einem Funktionspostfach, eine Kontaktperson sowie die öffentlichen statischen IP-Adressbereiche in IPv4 und IPv6 in CIDR-Notation (Quelle: BSI, Schritt-für-Schritt-Anleitung für die Registrierung, abgerufen am 23.09.2026). Die IP-Adressbereiche kennt oft nur Ihr Internetanbieter oder IT-Dienstleister: Fragen Sie früh.

Wer im Unternehmen die Angaben liefert

Die Registrierung selbst dauert nicht lange. Zeit kostet das Zusammentragen der Angaben, weil sie an verschiedenen Stellen liegen. Verteilen Sie die Aufgaben früh:

Das BSI legt die Einzelheiten des Verfahrens durch öffentliche Mitteilung auf seiner Internetseite fest (§ 33 Abs. 6 BSIG). Prüfen Sie dort vor dem Start den aktuellen Stand der Anleitung; Formulare und Pflichtfelder können sich ändern.

Der Ablauf im BSI-Portal

1. ELSTER-Organisationszertifikat beantragen. Die Anmeldung im BSI-Portal läuft über "Mein Unternehmenskonto" (MUK) mit einem ELSTER-Organisationszertifikat. Voraussetzung ist eine deutsche Steuernummer. Nach der Beantragung kommt ein Aktivierungsbrief per Post; laut BSI dauert die Zustellung regelmäßig mindestens fünf Werktage.
2. Im BSI-Portal anmelden. Mit MUK anmelden, Zertifikat hochladen, die übernommenen Unternehmensdaten prüfen.
3. Formular ausfüllen und abschließen. Einstufung, Sektor, Branche und Einrichtungsart, Tätigkeit in anderen EU-Staaten, Aufsichtsbehörden, Kontaktstelle, Kontaktperson, IP-Adressbereiche.
4. Registrierung ablegen. Datum, eingereichte Angaben und Bestätigung gehören in Ihre Dokumentation, damit Sie Änderungen innerhalb der zwei Wochen erkennen und melden.

Quelle für die Schritte 1 bis 3: bsi.bund.de, Seiten "Mein Unternehmenskonto (MUK)" und "Schritt-für-Schritt-Anleitung für die Registrierung im neuen BSI-Portal", abgerufen am 23.09.2026. Das BSI verlangt dasselbe Zertifikat nach eigener Angabe auch, um im Portal einen Sicherheitsvorfall zu melden. Beantragen Sie es deshalb nicht erst, wenn es eilt.

Was nach der Registrierung kommt

Die Registrierung ist der erste formale Schritt, nicht der letzte. Mit ihr ist das BSI über Ihr Unternehmen informiert, und die übrigen Pflichten gelten unabhängig davon, ob schon registriert ist:

• Risikomanagementmaßnahmen in den zehn Bereichen des § 30 Abs. 2 BSIG umsetzen und ihre Einhaltung dokumentieren (§ 30 Abs. 1 BSIG).
• Erhebliche Sicherheitsvorfälle in Stufen melden, die frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung (§ 32 Abs. 1 BSIG). Nach Angabe des BSI läuft die Meldung über dasselbe Portal und dasselbe Zertifikat.
• Die Geschäftsleitung setzt um, überwacht und lässt sich regelmäßig schulen (§ 38 BSIG), siehe Ratgeber zur Schulungspflicht.

Alle Pflichten in einer Reihenfolge mit Fundstelle und Nachweis zeigt die NIS2-Checkliste.

Festhalten mit Vorlagen

Das NIS2-Paket enthält eine Registrierungs-Checkliste mit den Angaben nach § 33 Abs. 1 BSIG, ihrer Quelle im Unternehmen, den Fristen und dem Nachweis, dazu die Dokumentation der Betroffenheitsprüfung. Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung; ob Ihr Unternehmen betroffen ist, prüfen Sie selbst oder mit rechtlicher Beratung.