Was ist die Registrierungspflicht nach NIS2?
Die Registrierung beruht auf einer Selbsteinschätzung: Die Einrichtung prüft selbst, ob sie nach § 28 BSIG besonders wichtig oder wichtig ist, und meldet sich dann beim Bundesamt für Sicherheit in der Informationstechnik (BSI) an. Einen Bescheid, der die Betroffenheit feststellt, gibt es nicht. Die Frist läuft deshalb auch dann, wenn niemand nachfragt.
Rechtsgrundlage ist § 33 Abs. 1 BSIG in der Fassung des NIS-2-Umsetzungsgesetzes. Erfasst sind besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister. Für die in § 60 Abs. 1 Satz 1 BSIG genannten Einrichtungsarten regelt § 34 BSIG daneben eine besondere Registrierungspflicht.
Die Pflicht trifft auch Einrichtungen, die von den Maßnahmen- und Meldepflichten ausgenommen sind. § 28 Abs. 5 BSIG nimmt öffentliche Telekommunikationsanbieter und Energieunternehmen nach den §§ 5c bis 5e EnWG grundsätzlich von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 aus. § 28 Abs. 6 BSIG nimmt Finanzunternehmen nach DORA von den §§ 30, 31, 32, 35, 36, 38 und 39 aus. § 33 steht in keiner der beiden Listen.
Welche Frist gilt für die Registrierung?
Die Anmeldung muss spätestens drei Monate erfolgen, nachdem eine Einrichtung erstmals oder erneut als eine der genannten Einrichtungen gilt. Für Einrichtungen, die bereits beim Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffen waren, lief die Frist am 6. März 2026 ab. Eine allgemeine Übergangsfrist sieht das Gesetz nach den FAQ des BSI nicht vor.
Wer später in den Anwendungsbereich hineinwächst, etwa durch Wachstum, einen Zukauf oder eine neue Tätigkeit, hat ab diesem Tag drei Monate. Halten Sie das Datum und die Herleitung schriftlich fest; damit belegen Sie, dass die Frist gewahrt wurde.
Wie läuft die Registrierung im BSI-Portal ab?
Das BSI beschreibt die Registrierung in zwei Schritten: zuerst die Anmeldung beim Dienst „Mein Unternehmenskonto“ (MUK), dann die Registrierung im BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist. MUK nutzt ELSTER-Organisationszertifikate, und für jede NIS-2-relevante Einrichtung ist ein eigenes MUK-Profil nötig. Eine Einrichtung ohne deutsche Steuernummer kann diese nach Angaben des BSI beim Finanzamt Neubrandenburg (RAB) beantragen und danach das Zertifikat beantragen.
Die Einzelheiten des Verfahrens legt das BSI nach § 33 Abs. 6 BSIG fest und veröffentlicht sie auf seiner Internetseite. Das Portal fragt mehr ab als § 33 Abs. 1 BSIG, unter anderem eine NIS-2-Kontaktstelle und die Unternehmensgröße mit Beschäftigtenzahl, Jahresumsatz und Bilanzsumme.
Welche Angaben verlangt § 33 BSIG, und wer hält sie aktuell?
Ändern sich die übermittelten Angaben, müssen Sie das dem BSI nach § 33 Abs. 5 BSIG unverzüglich mitteilen, spätestens binnen zwei Wochen ab Kenntnis. Diese Frist hält nur, wer jede Angabe einer Stelle zuordnet, die von der Änderung zuerst erfährt. Die folgende Zuordnung ist ein Beispiel; Rollen und Quellen passen Sie an Ihre Organisation an.
| Angabe nach § 33 Abs. 1 BSIG | Quelle im Unternehmen | Pflegt (Beispiel) | Löst eine Änderungsmeldung aus |
|---|---|---|---|
| Nr. 1: Name, Rechtsform, Handelsregisternummer | Handelsregisterauszug | Rechtsabteilung | Umfirmierung, Formwechsel, Verschmelzung |
| Nr. 2: Anschrift, Kontaktdaten, E-Mail, Telefonnummern | Kontaktverzeichnis | ISB | Umzug, Wechsel der Kontaktperson |
| Nr. 2: öffentliche IP-Adressbereiche | Netzdokumentation, Providerverträge | IT-Betrieb | neuer Adressbereich, Providerwechsel, neuer Cloud-Mandant |
| Nr. 3: Sektor oder Branche nach Anlage 1 oder 2 | Herleitung der Betroffenheit | Compliance | neue oder aufgegebene Tätigkeit |
| Nr. 4: Mitgliedstaaten, in denen Dienste der Einrichtungsarten erbracht werden | Leistungsübersicht | Compliance | Markteintritt oder Marktaustritt |
| Nr. 5: zuständige Aufsichtsbehörden des Bundes und der Länder | Herleitung der Betroffenheit | Rechtsabteilung | geänderte Tätigkeit |
Nummer 4 fragt nur nach den Staaten, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, nicht nach jedem Land mit Geschäftstätigkeit. Für die IP-Adressbereiche prüfen Sie einmal im Quartal, ob der Stand im Portal mit Ihrem Asset-Inventar und der Netzdokumentation übereinstimmt. Bewahren Sie jede Übermittlung mit Datum auf.
Was regelt die besondere Registrierungspflicht nach § 34 BSIG?
§ 34 BSIG gilt für die Einrichtungsarten des § 60 Abs. 1 Satz 1 BSIG. Die Frist beträgt ebenfalls drei Monate, verlangt werden aber sechs Angaben, darunter die Anschrift der Hauptniederlassung in der EU oder des benannten Vertreters. Änderungen teilen diese Einrichtungen unverzüglich mit, spätestens drei Monate ab dem Tag der Änderung (§ 34 Abs. 2 BSIG). Das BSI leitet die Angaben außer den IP-Adressbereichen an die Agentur der Europäischen Union für Cybersicherheit weiter.
Was die Registrierung nicht erledigt
Mit der Anmeldung ist die Einrichtung identifiziert und erreichbar. Die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflicht nach § 32 BSIG und die Pflichten der Geschäftsleitung nach § 38 BSIG gelten unabhängig davon, soweit § 28 Abs. 5 oder 6 BSIG sie nicht ausnimmt. Einen Überblick über alle Pflichten gibt der NIS2-Leitfaden.