NIS2: Die Registrierungsfrist ist verstrichen — was jetzt zu tun ist

Die erste Frist zur Registrierung beim BSI ist am 6. März 2026 abgelaufen. Wer sie versäumt hat, ist damit nicht aus der Pflicht: Die Registrierung bleibt nachzuholen, und die übrigen Pflichten gelten ohnehin unabhängig davon, ob eine Einrichtung sich gemeldet hat oder nicht.

Maßgeblich ist in Deutschland nicht die EU-Richtlinie selbst, sondern ihre Umsetzung: das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz und das damit neu gefasste BSI-Gesetz. Seit Dezember 2025 ist es in Kraft. Das überrascht weiterhin Unternehmen, die davon ausgingen, die Regelung betreffe nur Energieversorger und Krankenhäuser.

Bin ich überhaupt betroffen?

Der Regelfall ist: Sie sind betroffen, wenn Sie in einem der gesetzlich benannten Sektoren tätig sind und die Größenkriterien erfüllen. Die Ersteinstufung nimmt jedes Unternehmen selbst vor — eine vorherige behördliche Aufforderung ist keine Voraussetzung dafür, dass die Pflichten gelten.

• Besonders wichtige Einrichtungen: ab 250 Mitarbeitenden, oder ab 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme
• Wichtige Einrichtungen: ab 50 Mitarbeitenden, oder ab 10 Mio. Euro Jahresumsatz und Bilanzsumme

Diese Schwellen sind eine vereinfachte Darstellung. Ob eine Einrichtung als „besonders wichtig" oder „wichtig" gilt, hängt zusätzlich davon ab, welcher Anlage des BSI-Gesetzes ihr Sektor zugeordnet ist. Daneben gibt es Einrichtungen, die unabhängig von ihrer Größe erfasst sind, etwa bestimmte digitale Anbieter und Betreiber kritischer Anlagen. Die verbindliche Einordnung liefert nur ein Blick in den Gesetzestext — oder Ihre Rechtsberatung.

Die Sektorenliste ist länger, als die meisten vermuten. Sie reicht von Post- und Kurierdiensten über Abfallbewirtschaftung, Chemie und Lebensmittel bis in Teile des verarbeitenden Gewerbes: Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau. Ein Maschinenbauer mit 60 Beschäftigten kann darunterfallen. Und wer selbst nicht erfasst ist, bekommt die Anforderungen häufig trotzdem zu spüren, weil betroffene Kunden sie vertraglich an ihre Lieferanten weiterreichen.

Wer wissen will, wo die Grenze zwischen NIS2 und den strengeren KRITIS-Pflichten verläuft: Wir haben beides ausführlich beschrieben, die NIS2-Umsetzung und die KRITIS-Beratung für Betreiber kritischer Infrastrukturen.

Die Registrierung fehlt — was ist jetzt zu tun?

Die Registrierung nachholen, und zwar unverzüglich. Der 6. März 2026 war die Frist für Einrichtungen, die schon bei Inkrafttreten unter die Regelung fielen. Wer die Schwellen erst später überschreitet — durch Wachstum, Zukauf oder ein neues Geschäftsfeld —, für den beginnt die Frist mit diesem Zeitpunkt.

Die Registrierung ist dabei der kleinste Teil: ein administrativer Schritt mit Pflichtangaben und der Pflicht, Änderungen nachzuführen. Die eigentliche Arbeit liegt woanders — Risikomanagement, Meldewege, Nachweise, Anforderungen an die Lieferkette. Das ist der Teil, der Zeit braucht.

Was droht, wenn nichts passiert?

Der Bußgeldrahmen liegt für besonders wichtige Einrichtungen bei bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen liegt er darunter. Welcher Rahmen gilt, hängt vom konkreten Verstoß ab. Praktisch bedeutsamer als die Höchstsumme sind jedoch drei andere Folgen.

• Anordnungen und Audits der Aufsicht, die Ressourcen binden
• Bei fortdauernden Verstößen die mögliche Untersagung von Leitungsfunktionen
• Die Verantwortung der Geschäftsleitung: Sie muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen, und sie haftet bei schuldhafter Verletzung dieser Pflicht

Der letzte Punkt wird am häufigsten unterschätzt. Die operative Arbeit lässt sich an die IT oder an einen Dienstleister delegieren — die gesetzliche Leitungsverantwortung bleibt bei der Geschäftsführung. Sie muss sich dafür auch schulen lassen.

Womit fange ich an?

Mit der Feststellung, ob Sie betroffen sind — schriftlich, nachvollziehbar, mit Datum. Eine dokumentierte Einstufung macht spätere Entscheidungen nachvollziehbar und ist auch dann wertvoll, wenn das Ergebnis „nicht betroffen" lautet.

• Betroffenheit klären und das Ergebnis samt Begründung dokumentieren — die rechtliche Einordnung gehört in die Hände Ihrer Rechtsberatung
• Registrierung beim BSI nachholen, falls die Einstufung sie verlangt
• Bestandsaufnahme: Welche Maßnahmen laufen bereits, welche Nachweise existieren?
• Lücken schließen, priorisiert nach Risiko statt nach Aufwand
• Meldewege festlegen und einmal proben — eine Meldekette, die nie getestet wurde, ist keine

Hilft uns eine ISO-27001-Zertifizierung?

Sie hilft erheblich. Ein nach ISO 27001 aufgebautes Managementsystem liefert Strukturen, auf denen sich aufbauen lässt: Risikobetrachtung, Maßnahmenkatalog, Dokumentation, interne Audits.

Ein Gleichheitszeichen ist es aber nicht. Eine Zertifizierung deckt nur ihren jeweiligen Geltungsbereich ab, und NIS2 setzt eigene Schwerpunkte — unter anderem bei Meldepflichten mit festen Fristen, bei der Lieferkette und bei der Verantwortung der Geschäftsleitung. Was davon in Ihrem Haus schon abgedeckt ist und was fehlt, zeigt erst ein Abgleich des konkreten Geltungsbereichs.

Wie lange dauert eine Umsetzung?

Das hängt vom Ausgangspunkt ab, weshalb seriöse Antworten eine Spanne nennen statt einer Zahl. Ein Unternehmen mit gepflegter Dokumentation und laufendem Patchmanagement braucht deutlich weniger als eines, das bei der Bestandsaufnahme beginnt. Planbar ist der erste Schritt: Die Standortbestimmung liefert eine Lückenliste mit Aufwandsschätzung, ihr Umfang richtet sich nach Größe, Standorten und Mitwirkung im Haus.

Dabei ist unsere Rolle die des IT-Dienstleisters: Wir übernehmen die technische und organisatorische Umsetzung — Bestandsaufnahme, Maßnahmen, Nachweise, Schulung. Die rechtliche Bewertung der Betroffenheit und die Kommunikation mit Behörden gehören zu Ihrer Rechtsberatung. Beides greift ineinander, und wir arbeiten regelmäßig mit den Kanzleien unserer Kunden zusammen.

Wir sind im Umkreis von rund 100 Kilometern um Singen tätig — von Villingen über Konstanz bis in die Schweiz. Für Schweizer Unternehmen gilt: NIS2 ist EU-Recht und trifft sie nicht unmittelbar; über EU-Töchter und über Verträge mit betroffenen Kunden erreichen die Anforderungen sie trotzdem. Wenn Sie unsicher sind, wo Sie stehen: Sprechen Sie uns an.

Stand: August 2026. Die genannten Fristen, Schwellenwerte und Bußgeldrahmen geben den Informationsstand zum genannten Datum in vereinfachter Form wieder. Sie sind allgemeine Information und ersetzen keine rechtliche Einzelfallprüfung; verbindlich ist allein der Gesetzestext.