Deutschland: NIS2-regulierte Einrichtungen müssen sich beim BSI registrieren
Hinweis zum Datum: Das NIS2UmsuCG (zur Neufassung des BSI-Gesetzes) wurde am 05.12.2025 im Bundesgesetzblatt verkündet und trat am 06.12.2025 in Kraft; § 33 BSIG räumte betroffenen Einrichtungen danach 3 Monate zur Registrierung ein, also bis zum 06.03.2026. Das BSI ließ eine verspätete Registrierung anschließend bis zum 31.07.2026 als Übergangsfrist zu. Beide Termine liegen zum Zeitpunkt der letzten Prüfung bereits in der Vergangenheit; sie werden zu Referenzzwecken beibehalten und weil dieselbe Drei-Monats-Frist auch für jede Einrichtung gilt, die später neu in den Anwendungsbereich fällt.
Was sich ändert
Seit Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) müssen 'besonders wichtige' und 'wichtige' Einrichtungen nach dem neu gefassten BSIG (Energie, Transport, Gesundheit, digitale Infrastruktur, Herstellung kritischer Produkte und weitere gelistete Sektoren, in der Regel ab 50 Beschäftigten oder über 10 Mio. € Umsatz, einige Teilsektoren unabhängig von der Größe) ihren Status selbst prüfen und sich innerhalb von 3 Monaten beim BSI registrieren, unter Angabe von Name/Rechtsform, Kontaktdaten, IP-Bereichen und den betroffenen Sektoren.
Wer betroffen ist
Mittlere und große Unternehmen (sowie einige kleinere Unternehmen in bestimmten Sektoren wie Vertrauensdiensten, DNS oder öffentlicher elektronischer Kommunikation) in den 18 NIS2-Sektoren gemäß BSIG Anlage 1/2.
Größen: mittel, groß · Branchen: Energie, Transport / Logistik, Gesundheit, Produzierendes Gewerbe, Freiberufliche Dienstleistungen, Finanzen / Versicherungen · Gilt, wenn: Wir sind in einem kritischen Sektor tätig (NIS2); Wir verarbeiten personenbezogene Daten
Was zu tun ist
Prüfen Sie, ob Ihr Unternehmen in einen regulierten Sektor und die entsprechende Größenklasse fällt. Ist dies der Fall und Sie haben sich noch nicht registriert, registrieren Sie sich umgehend über das BSI-Registrierungsportal; beginnen Sie anschließend mit der Umsetzung der nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen.
Sanktion
Bußgelder bis zu 500.000 € bei unterlassener Registrierung (§ 65 Abs. 5 Nr. 5 BSIG i. V. m. § 33); für Verstöße gegen die zugrunde liegenden Risikomanagement- und Meldepflichten selbst gelten wesentlich höhere Bußgelder (bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes).
Quellen
- BSI – NIS-2-regulierte Unternehmen (registration status and portal) (www.bsi.bund.de)
- gesetze-im-internet.de – BSIG §33 (Registrierungspflicht) (www.gesetze-im-internet.de)
- gesetze-im-internet.de – BSIG §65 (Bußgeldvorschriften) (www.gesetze-im-internet.de)
Zuletzt geprüft am 8. September 2026. Nur zur Information, keine Rechtsberatung.