Von rund 29.500 in Deutschland betroffenen Einrichtungen war Ende Mai 2026 erst gut die Hälfte beim BSI registriert. Das BSI hat den Wirtschaftsverbänden am 12. Juni 2026 mitgeteilt, dass es die ausstehenden Registrierungen bis zum 31. Juli 2026 erwartet. Wichtig für die Einordnung: das ist Vollzugskulanz, keine Fristverlängerung. Die gesetzliche Frist ist am 6. März 2026 abgelaufen.

Der Fristenstand, sauber getrennt

17. Oktober 2024: EU-Frist zur nationalen Umsetzung der Richtlinie (EU) 2022/2555. Deutschland hat sie verfehlt, die EU-Kommission leitete im November 2024 ein Vertragsverletzungsverfahren ein.

6. Dezember 2025: das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) tritt in Kraft.

6. März 2026: Ende der gesetzlichen Frist zur Registrierung betroffener Einrichtungen beim BSI (drei Monate nach Inkrafttreten).

31. Juli 2026: Datum, bis zu dem das BSI ausstehende Registrierungen erwartet. Behördliche Duldung, keine neue Rechtslage. Wer jetzt registriert, hat die gesetzliche Frist bereits versäumt, vermeidet aber den Eindruck der beharrlichen Verweigerung.

Selbstidentifizierung: die eigentliche Hürde

NIS2 kennt keine behördliche Betroffenheitsfeststellung. Jede Einrichtung muss selbst prüfen, ob sie in den Anwendungsbereich fällt, und sich gegebenenfalls selbst registrieren. Wer die Prüfung nie durchgeführt hat, ist nicht entschuldigt.

Geprüft wird zweistufig: fällt die Tätigkeit unter einen der 18 Sektoren aus Anhang I oder II, und werden die Größenschwellen erreicht (ab 50 Mitarbeitende oder 10 Mio Euro Umsatz: wichtige Einrichtung; ab 250 Mitarbeitende oder 50 Mio Euro Umsatz: wesentliche Einrichtung).

Häufig übersehen: Unternehmensverbünde. Bei verbundenen Unternehmen sind Mitarbeitendenzahl und Umsatz nach den Regeln der KMU-Empfehlung zusammenzurechnen. Eine kleine Tochter im Konzernverbund kann dadurch pflichtig werden.

Ebenfalls häufig übersehen: IKT-Dienstleister und Managed Service Provider fallen als eigene Kategorie in den Anwendungsbereich, unabhängig davon, ob ihre Kunden betroffen sind.

Was mit der Registrierung sofort gilt

Meldepflichten nach dem 24/72/Monat-Schema: Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, Vorfallsmeldung mit erster Bewertung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.

Die zehn Mindestmaßnahmen nach Art. 21: Risikoanalyse und Sicherheitskonzepte, Vorfallbehandlung, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Sicherheit bei Erwerb und Wartung, Wirksamkeitsbewertung, Cyber-Hygiene und Schulung, Kryptografie, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung.

Für die Art.-21-Maßnahmen gibt es keine Schonfrist. Sie gelten mit der Betroffenheit, nicht mit der Registrierung.

Geschäftsleitungshaftung: der unterschätzte Teil

Art. 20 der Richtlinie verlangt, dass das Leitungsorgan die Risikomanagement-Maßnahmen billigt, ihre Umsetzung überwacht und selbst geschult wird. Das ist eine persönliche Pflicht, keine delegierbare Fachaufgabe.

Im deutschen Recht greift das ergänzend zu den allgemeinen Sorgfaltspflichten nach § 93 AktG und § 43 GmbHG. Eine unterlassene Registrierung und eine fehlende dokumentierte Befassung der Geschäftsleitung sind im Haftungsfall zwei getrennte Vorwürfe.

Bußgeldrahmen: bis 10 Mio Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis 7 Mio Euro oder 1,4 Prozent für wichtige Einrichtungen. Hinzu kommen Aussetzung von Zertifizierungen und im schweren Fall ein temporäres Tätigkeitsverbot für leitende Personen.

Was diese Woche zu tun ist

1. Betroffenheit prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt. Die Dokumentation ist der Nachweis, dass geprüft wurde.

2. Bei Betroffenheit sofort im BSI-Melde- und Registrierungsportal registrieren. Benötigt werden Träger, Anschrift, Sektor, Kontaktstellen, IP-Bereiche und die Mitgliedstaaten, in denen die Dienste erbracht werden.

3. Meldekette definieren, bevor der erste Vorfall eintritt: wer stellt fest, wer entscheidet, wer meldet, wer vertritt. 24 Stunden sind an einem Freitagabend sehr kurz.

4. Geschäftsleitungs-Beschluss zur Cyber-Risiko-Strategie herbeiführen und protokollieren, inklusive Schulungsnachweis.

5. Lücken bei den zehn Maßnahmen erfassen und mit Termin und Verantwortlichem versehen. Ein dokumentierter Plan mit Lücken ist gegenüber der Aufsicht deutlich besser als eine unbelegte Behauptung von Konformität.

Quellenlage

Richtlinie (EU) 2022/2555 (NIS2). NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), in Kraft seit 6. Dezember 2025. Schreiben des BSI an die Wirtschaftsverbände vom 12. Juni 2026 zur erwarteten Nachholung der Registrierungen bis 31. Juli 2026. Die Zahl von rund 29.500 betroffenen Einrichtungen und der Registrierungsstand von etwa der Hälfte per Ende Mai 2026 stammen aus der BSI-Kommunikation und der darauf aufbauenden Berichterstattung.

NIS2-Registrierung: die BSI-Nachfrist endet am 31. Juli 2026