NIS2-Registrierung beim BSI
Die Registrierung erfolgt auf eigene Initiative — niemand fordert Sie dazu auf. Drei Monate ab Betroffenheit, zwei Wochen bei Änderungen.
Die kurze Antwort
Besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister müssen sich beim BSI registrieren — spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten. Übermittelt werden fünf Angaben. Ändern sich diese, sind die Änderungen binnen zwei Wochen nachzureichen.
Entscheidend ist das Prinzip der Selbstidentifizierung: Es gibt keine Liste, auf die man gesetzt wird. Wer die Kriterien erfüllt, muss selbst tätig werden — auch dann, wenn er nie angeschrieben wurde.
Die fünf verlangten Angaben
| Angabe | Worauf zu achten ist |
|---|---|
| Name der Einrichtung | Einschließlich der Rechtsform — die Angabe muss zur Eintragung im Register passen. |
| Anschrift und Kontaktdaten | Einschließlich E-Mail-Adresse. Diese Adresse ist der Kanal, über den die Aufsicht Sie erreicht. |
| Sektor und Teilsektor | Die Einordnung entscheidet mit darüber, welche sektorspezifischen Anforderungen greifen. |
| Mitgliedstaaten mit Dienstleistungserbringung | Alle EU-Staaten, in denen Dienste erbracht werden — Grundlage für die grenzüberschreitende Zuständigkeit. |
| Zuständige Aufsichtsbehörden | Die zuständigen Behörden des Bundes und der Länder. |
Vier Dinge, die vorher stehen müssen
Betroffenheit belastbar feststellen
Sektor, Größenklasse und Sonderfälle prüfen. Die Einstufung als wichtige oder besonders wichtige Einrichtung entscheidet über den Aufsichtsmaßstab und ist keine Formalie.
Zugang rechtzeitig einrichten
Der Zugang zum Meldeportal des BSI setzt eine organisationsbezogene Authentifizierung voraus, deren Beantragung Vorlauf braucht. Das ist der Punkt, an dem Registrierungen kurz vor Fristende scheitern.
Verantwortlichkeit benennen
Eine Person, die für die Richtigkeit der Angaben und deren Aktualisierung zuständig ist. Ohne benannte Zuständigkeit bleiben Änderungen liegen.
Änderungsprozess aufsetzen
Änderungen sind unverzüglich, spätestens binnen zwei Wochen zu übermitteln. Das verlangt einen Auslöser im eigenen Prozess — etwa bei Adress-, Namens- oder Zuständigkeitswechsel.
Ob Ihre Einrichtung überhaupt erfasst ist, klärt der Betroffenheitscheck. Die Schritt-für-Schritt-Liste für die Erstregistrierung steht in der Checkliste zur BSI-Erstregistrierung. Was nach der Registrierung inhaltlich zu erfüllen ist, zeigen die zehn Maßnahmenbereiche nach § 30 BSIG.
Häufige Fragen zur Registrierung
- Wer muss sich nach NIS2 registrieren?
- Nach § 33 BSIG registrierungspflichtig sind besonders wichtige Einrichtungen, wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister. Die Pflicht knüpft an die Betroffenheit an, nicht an eine Aufforderung durch die Behörde: Wer die Kriterien erfüllt, muss sich selbst identifizieren und aktiv registrieren.
- Welche Frist gilt für die Registrierung?
- Die Registrierung hat spätestens drei Monate nach dem Zeitpunkt zu erfolgen, ab dem eine Einrichtung erstmals oder erneut als besonders wichtige beziehungsweise wichtige Einrichtung gilt. Für Einrichtungen, die bereits mit Inkrafttreten des BSIG am 06.12.2025 erfasst waren, lief diese Frist am 06.03.2026 ab. Wer neu unter die Kriterien fällt — etwa durch Wachstum oder eine Änderung des Geschäftsmodells — hat ab diesem Zeitpunkt drei Monate.
- Die Frist ist abgelaufen — was jetzt?
- Nachholen, und zwar unverzüglich. Die Registrierungspflicht entfällt nicht durch Zeitablauf. Eine verspätete Registrierung ist deutlich besser als eine unterlassene: Sie stellt den gesetzlich vorgesehenen Zustand her und ist im Verhältnis zur Aufsicht ein Handeln aus eigenem Antrieb. Parallel sollte dokumentiert werden, warum es zur Verzögerung kam und welche Maßnahmen eine Wiederholung verhindern.
- Welche Angaben verlangt das BSI?
- § 33 Abs. 1 BSIG nennt fünf: Name der Einrichtung einschließlich Rechtsform, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, den betroffenen Sektor beziehungsweise Teilsektor, die Mitgliedstaaten, in denen Dienste erbracht werden, sowie die zuständigen Aufsichtsbehörden.
- Was passiert bei Änderungen der Angaben?
- Ändern sich registrierte Angaben, sind sie dem Bundesamt unverzüglich zu übermitteln, spätestens jedoch binnen zwei Wochen. Diese Frist ist deutlich kürzer als die Registrierungsfrist selbst und wird regelmäßig übersehen — etwa bei Umfirmierung, Standortwechsel oder Wechsel der verantwortlichen Kontaktperson.
- Ersetzt die Registrierung die weiteren Pflichten?
- Nein. Die Registrierung ist eine Meldung an die Aufsicht, keine Erfüllung inhaltlicher Anforderungen. Die Risikomanagementmaßnahmen nach § 30, die Meldepflicht nach § 32 und die Pflichten der Geschäftsleitung nach § 38 gelten unabhängig davon und ab demselben Zeitpunkt.
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fristen und Angaben nach § 33 BSIG. Verfahrenswege und Portalbezeichnungen kann das BSI ändern — maßgeblich sind die Angaben des Bundesamts. Fachliche Einordnung, keine Rechtsberatung.
Unsicher, ob und wie Sie registrieren müssen?
Wir prüfen Ihre Betroffenheit, ordnen die Einstufung als wichtige oder besonders wichtige Einrichtung ein und begleiten die Registrierung samt Änderungsprozess.
Betroffenheit klären