Lange war NIS2 ein „kommt irgendwann"-Thema. Das ist vorbei: Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Rund 30.000 Unternehmen in 18 Sektoren sind direkt betroffen, über Lieferketten noch deutlich mehr.
Aktualisiert am 19. Oktober 2026: Dieser Beitrag enthält jetzt auch die Inhalte des früheren Beitrags „NIS2-Registrierung nach Fristablauf am 31. Juli 2026: warum Betriebe die BSI-Anmeldung jetzt unverzüglich nachholen sollten".
Aktualisiert am 7. Oktober 2026: Präzisiert: Die Registrierungsfrist zum 6. März 2026 galt für besonders wichtige und wichtige Einrichtungen. Wer betroffen und noch nicht registriert ist, sollte sich laut BSI jetzt umgehend im BSI-Portal registrieren.
Hinweis: Dieser Beitrag ist keine Rechtsberatung. Er ordnet die Lage ein und nennt erste Schritte. Stand: Mai 2026, Abschnitte zur BSI-Registrierung: Stand 11. August 2026.
Bin ich überhaupt betroffen?
Es gibt zwei Kategorien mit Schwellenwerten:
- Besonders wichtige Einrichtungen: ab ca. 250 Beschäftigten oder 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme.
- Wichtige Einrichtungen: ab ca. 50 Beschäftigten oder 10 Mio. € Umsatz, in Sektoren wie Logistik, Maschinenbau, Lebensmittel, Pharma, digitale Dienste, Post-/Lieferdienste u. a.
Viele kleine Betriebe liegen unter diesen Schwellen und sind nicht direkt verpflichtet. Aber:
Der Punkt, den kleine KMU oft übersehen: die Lieferkette
NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette zu steuern. In der Praxis heißt das: Ihre größeren Kunden geben Sicherheitsanforderungen vertraglich an Sie weiter, auch wenn Sie selbst formal nicht unter NIS2 fallen. „Wir sind zu klein dafür" ist deshalb selten die ganze Wahrheit.
Worum es inhaltlich geht
NIS2 verlangt im Kern angemessene Risikomanagement-Maßnahmen, u. a.:
- Risikoanalyse und Sicherheitskonzept
- Vorfallserkennung und Meldepflichten bei Sicherheitsvorfällen: Erhebliche Vorfälle gehen innerhalb von 24 Stunden als Erstmeldung und innerhalb von 72 Stunden mit einer weiteren Meldung an das BSI
- Backup-, Notfall- und Wiederanlaufmanagement
- Lieferketten-Sicherheit, Zugriffskontrolle, Verschlüsselung, MFA
- Verantwortung der Geschäftsführung (inkl. persönlicher Haftung)
Registrierung beim BSI: Fristen verstrichen, Pflicht nicht
Besonders wichtige und wichtige Einrichtungen mussten sich nach § 33 BSIG bis zum 6. März 2026 beim BSI registrieren. Das BSI erklärte danach über die Branchenverbände, es gehe davon aus, dass ausstehende Registrierungen bis spätestens 31. Juli 2026 nachgeholt werden. Auch diese Nachfrist ist verstrichen. Die Pflicht ist damit nicht erloschen: Sie ist erst erfüllt, wenn die Registrierung tatsächlich erfolgt ist. Das BSI fordert alle Betroffenen auf, sich „jetzt umgehend im BSI-Portal" zu registrieren. Warten Sie nicht auf ein individuelles Anschreiben, denn die Pflicht besteht unabhängig davon.
Wer Angaben nach § 33 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG). Dafür sieht das Gesetz eine Geldbuße von bis zu 500.000 € vor. Die oft zitierten höheren Rahmen gelten für schwerwiegendere Verstöße, etwa gegen die Risikomanagement- und Meldepflichten. Nach dem Fristende erklärte das BSI gegenüber Fachmedien, bislang auf Durchsetzungsmaßnahmen verzichtet zu haben. Darauf zu spekulieren wäre falsch: Ein Bußgeld setzt keinen Sicherheitsvorfall voraus, und die Nachregistrierung beendet den andauernden Verstoß.
Dazu kommt § 38 BSIG: Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzen sie diese Pflichten schuldhaft, haften sie ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln für den Schaden.
So holen Sie die Registrierung nach
Die Anmeldung läuft in zwei Schritten, und beide brauchen Vorlaufzeit:
- ELSTER-Unternehmenskonto (MUK): Ohne gültiges ELSTER-Zertifikat gibt es keinen Zugang zum BSI-Portal. Der Postweg für die Aktivierungsdaten dauert erfahrungsgemäß bis zu zwei Wochen, also sofort unter www.elster.de beantragen.
- Registrierung im BSI-Portal unter portal.bsi.bund.de (seit dem
- Januar 2026 freigeschaltet). Bereithalten: Firmenstammdaten und Handelsregisternummer, den oder die zutreffenden Sektoren, das ELSTER-Zertifikat und die Kontaktdaten des Sicherheitsansprechpartners (SPOC), also einer konkret erreichbaren Person und keines Sammelpostfachs.
Typische Zeitfresser sind ein fehlendes ELSTER-Zertifikat, ein falsch gewählter Sektor (wer in mehreren tätig ist, gibt alle an) und ein fehlender SPOC. Und: Die Portal-Anmeldung erfüllt § 33 BSIG, aber nicht die inhaltlichen Anforderungen der §§ 30 bis 37 BSIG. Wer registriert ist, aber keine getesteten Backups, kein aktuelles Sicherheitskonzept und keine MFA hat, bleibt trotzdem non-compliant.
Die ersten konkreten Schritte
- Betroffenheit klären: direkt verpflichtet, oder über Kunden in der Lieferkette gefordert? Beides ernst nehmen.
- Gap-Analyse: Wo stehen Sie heute gegenüber den Anforderungen (Backups, MFA, Patching, Notfallplan, Meldewege)?
- Quick Wins zuerst: MFA überall, geprüfte Backups, Patch-Routine, Mitarbeiter-Sensibilisierung. Das senkt Risiko sofort.
- Dokumentieren: Maßnahmen nachweisbar machen. Ohne Doku keine Compliance.
Vieles davon ist solide IT-Sicherheit, die ohnehin sinnvoll ist. NIS2 macht sie nur verbindlich. Wer schon eine saubere DSGVO-Umsetzung hat, startet nicht bei null.
Fazit
NIS2 ist kein Grund für Panik, aber für Handeln. Auch kleine Unternehmen sollten ihre Betroffenheit aktiv prüfen, spätestens dann, wenn der erste große Kunde den Fragebogen schickt.
Sie wollen wissen, ob und wie NIS2 Sie betrifft? In einem kostenlosen Erstgespräch ordnen wir Ihre Situation ein, nüchtern und ohne Panikmache.
Hinweis: Die Beiträge dieses Blogs werden unter Einsatz von KI erstellt und vor der Veröffentlichung redaktionell geprüft. Die redaktionelle Verantwortung trägt Emre Yurtbay (siehe Impressum).