NIS2-Registrierung: Frist am 31. Juli 2026 abgelaufen – warum Betriebe die BSI-Anmeldung jetzt unverzüglich nachholen sollten

Update vom 11. August 2026: Die vom BSI kommunizierte Nachfrist ist am 31. Juli 2026 abgelaufen. Wir haben diesen Beitrag vollständig überarbeitet – er beschreibt jetzt die Rechtslage nach Fristablauf. Die Kernaussage vorweg: Die Registrierungspflicht besteht gesetzlich fort. Wer sie versäumt hat, sollte unverzüglich nachregistrieren.

Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft. Damit gilt auch die gesetzliche Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI) – mit ursprünglicher Frist zum 6. März 2026. Das BSI hatte anschließend – kommuniziert über ein Schreiben an die Branchenverbände – erklärt, dass es davon ausgeht, dass alle ausstehenden Registrierungen bis spätestens 31. Juli 2026 nachgeholt werden. Auch diese Nachfrist ist inzwischen verstrichen.

Entscheidend ist jetzt: Mit dem Fristablauf ist die Pflicht nicht erloschen. Die Registrierungspflicht nach § 33 BSIG gilt unverändert weiter – sie ist erst erfüllt, wenn die Registrierung tatsächlich erfolgt ist. Das BSI formuliert es auf seiner Themenseite selbst so: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen" – verbunden mit der Aufforderung an alle Betroffenen, sich „jetzt umgehend im BSI-Portal" zu registrieren.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Er gibt einen Überblick über die aktuelle Rechtslage und empfohlene nächste Schritte. Bitte ziehen Sie für Ihre individuelle Situation einen Fachanwalt oder zertifizierten IT-Sicherheitsberater hinzu. Stand: 11. August 2026.

Wer jetzt weiter abwartet, verbessert seine Lage also nicht – im Gegenteil: Das Versäumnis ist bußgeldbewehrt und dauert mit jedem Tag ohne Registrierung an. Nachregistrieren ist der einzige Weg, den Verstoß zu beenden.

Wer muss sich beim BSI registrieren?

Die Registrierungspflicht nach § 33 BSIG gilt für besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Schwellenwerte:

• Besonders wichtige Einrichtungen: ab ca. 250 Beschäftigte oder 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme – in Sektoren wie Energie, Wasser, Verkehr, Gesundheit, Finanzwesen und digitale Infrastruktur.
• Wichtige Einrichtungen: ab ca. 50 Beschäftigte oder 10 Mio. € Umsatz – in Sektoren wie Logistik, Maschinenbau, Lebensmittelproduktion, Chemie, Post- und Kurierdienste sowie digitale Dienste.

Das BSI geht von rund 29.500 betroffenen Unternehmen und Bundesverwaltungsinstitutionen in Deutschland aus. Zum Fristende am 31. Juli 2026 meldete das BSI gegenüber Fachmedien 18.845 registrierte Einrichtungen (6.490 besonders wichtige, 12.355 wichtige) – gemessen an der BSI-Schätzung fehlte damit weiterhin rund ein Drittel; das Bundesinnenministerium lässt die Schätzzahl derzeit vom Statistischen Bundesamt überprüfen. Das BSI hatte die Nachfrist über die Branchenverbände kommuniziert und diese gebeten, ihre Mitglieder an die Pflicht zu erinnern. Warten Sie also nicht auf ein individuelles Anschreiben – die Pflicht besteht unabhängig davon.

Was gilt jetzt, nach dem 31. Juli 2026?

Drei Punkte stehen im Vordergrund:

1. Die Registrierungspflicht besteht fort Eine gesetzliche Pflicht verschwindet nicht, weil ihre Frist verstrichen ist. § 33 BSIG verlangt die Übermittlung der Registrierungsangaben – wer das versäumt hat, muss es nachholen, und zwar unverzüglich. Die Nachregistrierung beendet den andauernden Verstoß und dokumentiert gegenüber dem BSI, dass die Einrichtung ihre Pflichten ernst nimmt.

2. Das Registrierungsversäumnis ist bußgeldbewehrt Wer entgegen § 33 BSIG Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG). Dafür sieht das Gesetz eine Geldbuße von bis zu 500.000 € vor. Die oft zitierten höheren Rahmen – bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen, bei Einrichtungen mit mehr als 500 Mio. € Jahresumsatz auch 2 % bzw. 1,4 % des Gesamtumsatzes – gelten für schwerwiegendere Verstöße, etwa gegen die Risikomanagement- und Meldepflichten. Nach dem Fristende erklärte das BSI gegenüber Fachmedien, bislang auf Durchsetzungsmaßnahmen verzichtet zu haben und die Entwicklung genau zu beobachten. Darauf zu spekulieren, dass das so bleibt, wäre die falsche Strategie: Ein Bußgeld setzt keinen Sicherheitsvorfall voraus, und wer nachregistriert hat, steht in jedem Szenario besser da als wer weiter untätig bleibt.

3. Pflichten der Geschäftsleitung nach § 38 BSIG § 38 BSIG verpflichtet Geschäftsleitungen, die vorgeschriebenen Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen; außerdem müssen sie regelmäßig an Schulungen teilnehmen. Verletzen sie diese Pflichten schuldhaft, haften sie ihrer Einrichtung für den Schaden nach den gesellschaftsrechtlichen Regeln. Wer als Geschäftsführer die Pflichten kennt und trotzdem untätig bleibt, trägt dieses Risiko.

Der zweistufige Registrierungsprozess beim BSI

Die Anmeldung beim BSI ist kein einfaches Online-Formular. Sie verläuft in zwei Schritten – und beide brauchen Vorlaufzeit:

Schritt 1: ELSTER-Unternehmenskonto (MUK) beantragen

Der erste Schritt ist die Identifizierung über das ELSTER-Unternehmenskonto (MUK). Falls Ihr Unternehmen noch kein gültiges ELSTER-Zertifikat besitzt, beantragen Sie es jetzt unter www.elster.de. Der Postweg für die Aktivierungsdaten dauert erfahrungsgemäß bis zu zwei Wochen. Ohne Zertifikat gibt es keinen Zugang zum BSI-Portal – dieser Schritt entscheidet also darüber, wie schnell Sie die Nachregistrierung abschließen können.

Schritt 2: Registrierung im BSI-Portal

Das Registrierungsportal unter portal.bsi.bund.de ist seit dem 6. Januar 2026 freigeschaltet. Dort geben Sie Stammdaten, Sektor und Kategorie ein. Halten Sie folgende Informationen bereit:

• Firmenstammdaten und Handelsregisternummer
• Zuordnung zum zutreffenden KRITIS-Sektor (ggf. mehrere, wenn Ihr Betrieb sektorübergreifend tätig ist)
• Kontaktdaten des Sicherheitsansprechpartners (SPOC) – eine konkret erreichbare Person, kein Sammelpostfach
• ELSTER-Zertifikat zur sicheren Identifizierung

Registrierung ist nicht dasselbe wie Compliance

Die Anmeldung im BSI-Portal ist Pflicht – aber nur der Anfang. NIS2 verlangt darüber hinaus:

• Risikomanagementmaßnahmen: Risikoanalyse, Sicherheitskonzept, Zugriffskontrolle, MFA, Verschlüsselung, Patch-Management.
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) und innerhalb von 72 Stunden (vorläufige Meldung) gemeldet werden.
• Lieferkettensicherheit: Betroffene Unternehmen sind verpflichtet, Sicherheitsanforderungen an ihre Zulieferer und Dienstleister weiterzugeben – das betrifft auch KMU unterhalb der Schwellenwerte, wenn sie für NIS2-pflichtige Kunden tätig sind.
• Dokumentation: Alle Maßnahmen müssen nachweisbar sein.

Kurz gesagt: Wer registriert ist, aber keine getesteten Backups, kein aktuelles Sicherheitskonzept und keine MFA hat, bleibt trotzdem non-compliant.

Typische Fehler, die jetzt Zeit kosten

In der Praxis stolpern viele Betriebe über dieselben Punkte:

• ELSTER-Zertifikat fehlt noch: Die Beantragung dauert bis zu zwei Wochen – sofort starten.
• Falscher Sektor ausgewählt: Wer in mehreren Sektoren tätig ist, muss alle zutreffenden angeben; fehlerhafte Angaben können nachträglich korrigiert werden, kosten aber Zeit.
• Kein SPOC benannt: Das BSI erwartet eine namentliche, erreichbare Ansprechperson für Sicherheitsvorfälle.
• Registrierung mit NIS2-Compliance verwechselt: Die Portal-Anmeldung erfüllt § 33 BSIG – aber nicht die inhaltlichen Anforderungen der §§ 30–37 BSIG.

Was bedeutet das für Betriebe im Ruhrgebiet?

Die Schwellenwerte schließen die meisten kleinen Handwerksbetriebe, Einzelhändler und Praxen in Recklinghausen und der Umgebung von der direkten Pflicht aus. Für mittelständische Betriebe ab 50 Mitarbeitern oder über 10 Mio. € Umsatz – besonders in Logistik, Lebensmittelproduktion, Chemie oder als IT-Dienstleister – ist die Frage der Betroffenheit jedoch ernst zu nehmen.

Auch kleinere KMU sollten wissen: Wenn Ihre Großkunden NIS2-pflichtig sind, werden diese Sicherheitsanforderungen per Vertrag an Sie weitergegeben. Die Frage ist dann nicht mehr, ob Sie betroffen sind, sondern wann der nächste Auditor anklopft.

Fazit: Nachregistrieren – jetzt, nicht irgendwann

Die Frist ist verstrichen, die Pflicht nicht. Es gibt keinen Weg zurück vor den 31. Juli – aber es gibt einen klaren Weg nach vorn: unverzüglich nachregistrieren. Jeder weitere Tag ohne Registrierung verlängert den Verstoß; die Nachregistrierung beendet ihn. Genau dazu fordert das BSI aktuell auch ausdrücklich auf.

Prüfen Sie zuerst, ob Ihr Betrieb die Schwellenwerte überschreitet und in einen der regulierten Sektoren fällt. Wenn ja: Beginnen Sie sofort mit der ELSTER-Beantragung, benennen Sie einen SPOC und rufen Sie das BSI-Portal auf.

Sie sind unsicher, ob Ihr Betrieb registrierungspflichtig ist – oder möchten die Nachregistrierung gleich mit einem soliden NIS2-Fundament verbinden? Wir unterstützen Unternehmen im Ruhrgebiet bei beidem. Sprechen Sie uns gern an.