NIS2-Registrierung nachholen: Was nach dem Fristablauf gilt

Die Registrierung nach § 33 BSIG ist die sichtbarste NIS2-Pflicht und die am schnellsten zu erledigende. Genau deshalb ist sie auch die, an der die Aufsicht als Erstes erkennt, wer sich mit dem Thema befasst hat. Wer die Frist verpasst hat, sollte sie nicht aussitzen — die Rechtslage hat sich durch das Verstreichen des Termins nicht entspannt, sondern verschärft.

§ 33 BSIG kennt keine verlängerte Frist

Der Wortlaut ist knapp: Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gelten. Für alle Einrichtungen, die mit dem Inkrafttreten des BSIG betroffen waren, lief diese Frist am 6. März 2026 ab.

Welche fünf Angaben dabei zu übermitteln sind und was vorher stehen muss, steht im Detail auf unserer Seite zur NIS2-Registrierung beim BSI. Für diesen Beitrag zählt vor allem der zweite Teil der Vorschrift: Ändern sich die Angaben, sind sie unverzüglich, spätestens binnen zwei Wochen zu aktualisieren — eine Dauerpflicht, die in der Praxis regelmäßig übersehen wird, etwa bei einem Wechsel der Kontaktstelle.

Was die Nachfrist bis zum 31. Juli 2026 war — und was nicht

Angesichts der Registrierungslücke hatte das BSI gegenüber Wirtschaftsverbänden kommuniziert, Nachmeldungen bis zum 31. Juli 2026 entgegenzunehmen und bis dahin von Sanktionen abzusehen.

Dieser Termin war keine Fristverlängerung. Eine Behörde kann eine gesetzliche Frist nicht verlängern; sie kann nur ankündigen, wie sie ihr Ermessen beim Vollzug ausübt. Rechtlich blieb die Registrierungspflicht seit dem 6. März 2026 verletzt — mit der Zusage, dies vorerst nicht zu ahnden. Mit dem Ablauf des Juli ist diese Zusage ausgelaufen, und es gilt wieder die normale Rechtslage.

Für die Kommunikation nach innen ist der Unterschied wichtig: „Wir hatten bis Juli Zeit" trifft die Lage nicht. Richtig ist: „Wir waren seit März in Verzug, und die Aufsicht hat bis Juli darauf verzichtet, das zu verfolgen."

Die Registrierungslücke ist umstritten

Zum Ende der Nachfrist waren rund 18.800 bis 19.000 Einrichtungen im BSI-Portal registriert. Dem stand eine Erwartung von etwa 29.500 betroffenen Unternehmen und Bundesbehörden gegenüber — eine Differenz von gut einem Drittel.

Ob diese Differenz tatsächlich fehlende Registrierungen abbildet, ist offen. Das Bundesinnenministerium hat die Erwartungszahl selbst infrage gestellt: Sie beruht auf Auswertungen des Statistischen Bundesamtes aus den Jahren 2019 bis 2022 und dürfte zu hoch angesetzt gewesen sein. Möglich ist also beides — eine große Zahl säumiger Einrichtungen oder eine zu grobe Schätzgrundlage.

Für die einzelne Einrichtung ändert das nichts. Die Betroffenheit folgt aus Sektor, Größe und Tätigkeit, nicht aus einer Gesamtstatistik. Wer die Betroffenheit noch nicht sauber geprüft hat, sollte genau dort anfangen — die Registrierung ohne belastbare Einstufung ist eine Angabe ins Blaue, und die Einstufung als wichtige oder besonders wichtige Einrichtung entscheidet über den gesamten weiteren Pflichtenumfang.

Der kritische Pfad heißt nicht Portal, sondern Zugang

Den Ablauf selbst beschreibt unsere Seite zur NIS2-Registrierung beim BSI Schritt für Schritt. Wer die Frist bereits versäumt hat, sollte aber einen Punkt daraus kennen, weil er über Tage oder Wochen entscheidet: den Zugang.

Die Registrierung läuft ausschließlich über das BSI-Portal, und der Zugang setzt ein Mein Unternehmenskonto (MUK) auf Basis eines ELSTER-Organisationszertifikats voraus. Dessen Beantragung dauert erfahrungsgemäß ein bis zwei Wochen, weil der Aktivierungscode postalisch zugestellt wird. Das ist der Grund, warum „wir registrieren uns nächste Woche" in dieser Situation meist nicht aufgeht — und der Grund, den Antrag heute zu stellen, selbst wenn die Betroffenheitsprüfung noch läuft.

Ein zweiter praktischer Hinweis betrifft die Kontaktstelle: Sie sollte eine Funktionsadresse sein, keine persönliche. Eine Nachricht des BSI, die im Postfach einer ausgeschiedenen Mitarbeiterin liegt, erreicht Sie nicht — und die Zustellung gilt trotzdem als erfolgt.

Bestehende KRITIS-Betreiber registrieren zweimal

Wer schon vor NIS2 als Betreiber kritischer Anlagen registriert war, ist mit dem bestehenden Eintrag im Melde- und Informationsportal (MIP) nicht erledigt. Betreiber kritischer Anlagen gelten als besonders wichtige Einrichtungen und müssen sich zusätzlich im BSI-Portal registrieren, unter Angabe ihrer Betreiber- beziehungsweise Institutions-ID.

	MIP	BSI-Portal
Wofür	Registrierung und Meldungen als Betreiber kritischer Anlagen	Registrierung nach § 33 BSIG und Meldungen nach § 32 BSIG
Wer	Betreiber kritischer Anlagen	Alle wichtigen und besonders wichtigen Einrichtungen, KRITIS-Betreiber zusätzlich
Zugang	bestehender MIP-Zugang	Mein Unternehmenskonto (ELSTER-Organisationszertifikat)
Datenbestand	bleibt unverändert erhalten	eigener Datensatz, kann von der KRITIS-Kontaktstelle abweichen

Dass beide Kontaktstellen auseinanderlaufen können, ist kein Fehler, sondern gewollt — es ist aber eine Fehlerquelle. Wer zwei Portale pflegt, braucht eine Stelle, die beide Datenstände aktuell hält.

Registrierung ist keine Compliance

Der häufigste Denkfehler nach einer nachgeholten Registrierung ist die Annahme, das Thema sei damit erledigt. Die Registrierung erzeugt keine Pflicht und erfüllt keine — sie macht die Einrichtung für die Aufsicht sichtbar. Alles Übrige gilt unabhängig davon und galt bereits, bevor der Eintrag existierte.

Pflicht	Grundlage	Was das konkret heißt
Risikomanagementmaßnahmen	§ 30 BSIG	zehn Maßnahmenbereiche, von Risikoanalyse über Backup und Lieferkette bis Multi-Faktor-Authentifizierung
Angriffserkennung	§ 31 BSIG	Systeme zur Angriffserkennung bei Betreibern kritischer Anlagen
Meldepflicht	§ 32 BSIG	24 Stunden Erstmeldung, 72 Stunden Folgemeldung, ein Monat Abschlussmeldung
Leitungspflichten	§ 38 BSIG	Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung, Schulungspflicht

Wer registriert ist, aber keinen funktionierenden Meldeprozess hat, hat das Risiko nicht gesenkt, sondern verschoben: Die Einrichtung ist nun bekannt, und beim ersten erheblichen Sicherheitsvorfall wird die 24-Stunden-Frist scharf gestellt.

Was bei fortdauernder Nichtregistrierung droht

Drei Konsequenzen sind konkret:

Bußgeld. Ein Verstoß gegen § 33 Absatz 1 oder Absatz 2 Satz 1 ist nach § 65 Absatz 2 Nummer 6 BSIG eine Ordnungswidrigkeit; § 65 Absatz 5 ordnet ihr einen Rahmen von bis zu 500.000 Euro zu. Das ist deutlich weniger als die Höchstbeträge für Verstöße gegen die Risikomanagement- und Meldepflichten, aber es ist der Betrag, der ohne jeden Vorfall fällig werden kann.

Registrierung von Amts wegen. § 33 ermächtigt das Bundesamt, Einrichtungen selbst zu registrieren, wenn sie ihrer Pflicht nicht nachkommen. Wer so in den Bestand gerät, hat den Vorgang nicht mehr in der Hand — und beginnt die Beziehung zur Aufsicht mit einem dokumentierten Verstoß.

Auskunftsverlangen. Bei Anhaltspunkten für eine Betroffenheit kann das Bundesamt Auskünfte und Unterlagen verlangen. Diese Anfrage kommt erfahrungsgemäß nicht allein und trifft die Organisation unvorbereitet.

Hinzu kommt die Wirkung nach außen: Die Frage nach der NIS2-Registrierung taucht zunehmend in Lieferantenfragebögen auf. Wer sie verneinen muss, verliert die Diskussion über die eigene Lieferkettensicherheit, bevor sie begonnen hat.

Fazit

Die Nachfrist ist abgelaufen, die Pflicht besteht fort. Die Registrierung nachzuholen ist eine Sache von Tagen, sobald das Unternehmenskonto vorliegt — und sie ist die günstigste Maßnahme im gesamten NIS2-Kontext. Danach beginnt die eigentliche Arbeit: Einstufung belegen, Lücken gegen §§ 30 bis 38 BSIG bestimmen, priorisiert schließen.

Wir klären mit Ihnen die Betroffenheit, begleiten die Registrierung und zeigen in einer Gap-Analyse, was nach dem Eintrag im Portal wirklich zu tun ist. Eine erste Einschätzung liefert unser Betroffenheitscheck. Jetzt Registrierung und Gap-Analyse besprechen

FAQ

Was passiert, wenn wir die NIS2-Registrierungsfrist verpasst haben?

Die Registrierungspflicht nach § 33 BSIG besteht unverändert fort — sie erlischt nicht dadurch, dass die Frist verstrichen ist. Die gesetzliche Frist endete für die zum Inkrafttreten des BSIG betroffenen Einrichtungen am 6. März 2026. Das BSI hatte anschließend angekündigt, Nachmeldungen bis zum 31. Juli 2026 entgegenzunehmen und bis dahin von Sanktionen abzusehen; dieses Zeitfenster ist geschlossen, und es gilt wieder die reguläre Rechtslage. Konkret drohen drei Dinge: erstens ein Bußgeld, denn der Verstoß gegen § 33 Absatz 1 ist nach § 65 Absatz 2 Nummer 6 BSIG eine Ordnungswidrigkeit mit einem Rahmen von bis zu 500.000 Euro; zweitens die Registrierung von Amts wegen, weil das Bundesamt betroffene Einrichtungen selbst eintragen darf, wenn sie ihrer Pflicht nicht nachkommen; drittens Auskunfts- und Vorlageverlangen bei Anhaltspunkten für eine Betroffenheit. Die richtige Reaktion ist deshalb, die Registrierung unverzüglich nachzuholen und die Verzögerung intern zu dokumentieren, statt auf eine weitere Kulanz zu warten. Eine Selbstanzeige ist nicht vorgesehen und auch nicht erforderlich — die verspätete Registrierung selbst ist der Schritt, der den fortdauernden Verstoß beendet.

Reicht die bestehende KRITIS-Registrierung im MIP für NIS2 aus?

Nein. Betreiber kritischer Anlagen gelten unter dem BSIG als besonders wichtige Einrichtungen und müssen sich zusätzlich zu ihrem bestehenden Eintrag im Melde- und Informationsportal (MIP) im BSI-Portal registrieren. Dabei ist die vorhandene Betreiber- beziehungsweise Institutions-ID anzugeben, damit die Datensätze zugeordnet werden können. Die im Rahmen der KRITIS-Registrierung übermittelten Daten bleiben unverändert erhalten; der NIS2-Datensatz im BSI-Portal ist ein eigener Bestand und kann von der KRITIS-Kontaktstelle abweichen — etwa dann, wenn für Cybersicherheitsmeldungen eine andere Organisationseinheit zuständig ist als für die KRITIS-Meldewege. Genau diese Trennung ist die praktische Fehlerquelle: Wer künftig zwei Portale bespielt, braucht eine benannte Stelle, die beide Datenstände aktuell hält, und einen Eskalationsweg, der im Vorfall entscheidet, welche Meldung über welchen Kanal geht. Für den Zugang zum BSI-Portal ist ein Mein Unternehmenskonto auf Basis eines ELSTER-Organisationszertifikats erforderlich, das unabhängig vom MIP-Zugang beantragt werden muss.

Sind wir mit der Registrierung NIS2-konform?

Nein — die Registrierung ist eine Anzeigepflicht, keine Sicherheitsmaßnahme. Sie macht die Einrichtung für die Aufsicht sichtbar und erfüllt keine der materiellen Anforderungen. Unabhängig von der Registrierung gelten die Risikomanagementmaßnahmen nach § 30 BSIG mit ihren zehn Maßnahmenbereichen, die Pflicht zur Angriffserkennung nach § 31 BSIG für Betreiber kritischer Anlagen, die dreistufige Meldepflicht nach § 32 BSIG mit 24 Stunden, 72 Stunden und einem Monat sowie die Leitungspflichten nach § 38 BSIG, die der Geschäftsleitung die Billigung und Überwachung der Maßnahmen und eine eigene Schulungspflicht auferlegen. Ein registriertes Unternehmen ohne funktionierenden Meldeprozess steht schlechter da als vorher, weil die Aufsicht es nun kennt und die Fristen beim ersten erheblichen Sicherheitsvorfall unmittelbar greifen. Der sinnvolle nächste Schritt nach der Registrierung ist deshalb eine Gap-Analyse gegen §§ 30 bis 38 BSIG mit priorisiertem Maßnahmenplan — zuerst die Maßnahmen, die im Ernstfall oder im Nachweisverfahren blockieren, danach der Rest.

---

Stand: August 2026. Grundlage: § 33, § 32, § 30, § 31, § 38 und § 65 BSIG (Gesetze im Internet); Angaben des BSI zu NIS-2-Pflichten, zum BSI-Portal und zur Registrierung. Für eine individuelle Einordnung empfehlen wir eine Beratung durch Fachexperten.