Die Nachfrist, die das BSI für ausstehende NIS2-Registrierungen gesetzt hatte, ist seit dem 1. August Geschichte. Für Geschäftsführer betroffener Unternehmen ändert das weniger, als viele Schlagzeilen nahelegen, und an einer Stelle mehr: Die Pflicht besteht weiter, das Portal ist offen, und die Bußgeldnorm für eine versäumte Registrierung ist eine andere als die, die überall zitiert wird.
NIS2-Registrierung: Die Pflicht aus § 33 BSIG läuft nach dem Fristablauf unverändert weiter. Foto: Stefan Coders auf Pexels
Was seit dem 1. August tatsächlich passiert ist
Zunächst das, was nicht passiert ist: Das BSI hat nach dem Fristablauf keine Enforcement-Kampagne, keine Sektorprüfungen und keine Bußgeldverfahren öffentlich bekannt gegeben. Die jüngste Pressemitteilung des Amtes stammt vom 22. Juli 2026 und behandelt ein anderes Thema. Auf der NIS2-Themenseite steht weiterhin der schlichte Satz, die gesetzliche Registrierungsfrist sei bereits abgelaufen, verbunden mit der Aufforderung, die Registrierung nachzuholen. Wer im August mit Razzien gerechnet hat, hat die Behörde falsch gelesen.
Was sich dagegen belegen lässt, sind die Zahlen. Das BSI veröffentlicht sie quartalsweise unter „NIS-2 in Zahlen”. Zum Stichtag 30. Juni 2026 waren 17.729 Einrichtungen registriert, davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Rechnet man Nebenniederlassungen hinzu, sind es 17.945 Registrierungen. 1.342 der besonders wichtigen Einrichtungen sind zugleich KRITIS-Betreiber.
Gemessen an den rund 29.500 Einrichtungen, die das BSI im Anwendungsbereich erwartet, liegt die Quote damit bei etwa 60 Prozent. Im März waren es rund 11.500 und damit knapp 39 Prozent. Die Nachfrist hat also gewirkt, sie hat die Lücke aber nicht geschlossen: Rund 11.800 Einrichtungen fehlen weiter.
Eine Einschränkung gehört dazu, und sie ist für die Bewertung der aktuellen Lage wichtig. Die BSI-Statistik bildet den Stand zum 30. Juni ab, also einen Monat vor Ablauf der Nachfrist. Die nächste Aktualisierung kündigt das Amt für den 31. Oktober 2026 an. Belastbare Zahlen darüber, wie viele Unternehmen den Juli noch genutzt haben, gibt es vor diesem Termin nicht. Wer Ihnen heute eine Quote für August nennt, schätzt.
”Da die Registrierungen überfällig sind, gehen wir davon aus, dass alle bisher noch nicht registrierten Einrichtungen die Registrierung bis zum 31. Juli 2026 erfolgreich abschließen.”
— BSI, Schreiben an die Wirtschaftsverbände vom 12. Juni 2026
Dieser Satz ist die gesamte rechtliche Grundlage der sogenannten Nachfrist. Er steht in einem Verbändeschreiben, nicht im Gesetz. Das BSIG kennt keine Möglichkeit, die Frist aus § 33 zu verlängern. Für Unternehmen mit offenen Einordnungsfragen hat das BSI im selben Schreiben eine Kulanz eingeräumt: Wer eine Anfrage gestellt hatte, sollte sich innerhalb von sechs Wochen nach der Antwort registrieren. Diese Sechs-Wochen-Regel läuft für manche Betriebe noch heute.
Wen das NIS2UmsuCG trifft
Das Gesetz betrifft Unternehmen ab 50 Mitarbeitern und mehr als 10 Millionen Euro Jahresumsatz in den Sektoren der Anlagen 1 und 2 zum BSIG. Wie breit das reicht, zeigt die Sektorverteilung der bisherigen Registrierungen: Im Gesundheitswesen haben sich 3.354 Einrichtungen gemeldet, in der digitalen Infrastruktur 2.373, in der Energiewirtschaft 2.365. Aus dem verarbeitenden Gewerbe kommen 4.095 Registrierungen, aus der Lebensmittelproduktion 1.782, aus der Chemie 737. Der klassische Industriebetrieb aus dem Mittelstand ist im Anwendungsbereich also längst angekommen.
Für Geschäftsführer relevant: Gilt das Unternehmen als besonders wichtige Einrichtung, ab 250 Mitarbeitern oder ab 50 Millionen Euro Umsatz, prüft das BSI proaktiv und regelmäßig. Als wichtige Einrichtung wird anlassbezogen geprüft. Die Pflichten selbst sind in beiden Fällen dieselben, der Prüfrhythmus unterscheidet sich.
Ein Punkt überrascht viele kleinere Betriebe: Unternehmen unterhalb der Größenschwellen können faktisch betroffen sein. Fällt ein Auftraggeber unter NIS2, gibt er seine Sicherheitsanforderungen per Vertragsklausel nach unten weiter. Die Pflicht trifft ihn, der Aufwand landet in der Lieferkette. Wer als Zulieferer im Frühjahr entsprechende Fragebögen bekommen hat, kennt den Mechanismus schon.
Was Unternehmen konkret umsetzen müssen
Neben der Registrierung verlangt § 30 BSIG konkrete Risikomanagementmaßnahmen. Dazu gehören eine dokumentierte Risikoanalyse, ein Business-Continuity-Plan mit Backup-Strategie, Multi-Faktor-Authentifizierung auf kritischen Systemen, ein Incident-Response-Plan mit definierten Meldewegen sowie Konzepte für Lieferkettensicherheit und Kryptografie.
Die Meldepflicht aus § 32 BSIG hat es in sich. Bei einem erheblichen Sicherheitsvorfall muss binnen 24 Stunden eine Erstmeldung beim BSI eingehen, nach 72 Stunden folgt eine Bewertung, nach einem Monat die Abschlussmeldung. Das setzt voraus, dass die internen Prozesse vorher stehen. Wer nach dem Vorfall mit dem Aufbau beginnt, reißt die 24-Stunden-Frist zwangsläufig. Dass das keine Theorie ist, zeigt dieselbe BSI-Statistik: 692 Erstmeldungen sind bis Ende Juni über das Portal eingegangen, insgesamt 1.659 Meldungen.
Unternehmen mit ISO-27001-Zertifizierung haben bei den technischen Anforderungen einen Vorsprung, weil viele Maßnahmen bereits dokumentiert sind. Die Registrierung und die Meldepflichten ersetzt die Zertifizierung nicht.
Parallel lohnt der Blick auf die KI-Compliance-Anforderungen des EU AI Act, wo seit August 2026 die Nachweispflicht für KI-Kompetenz greift. Wer Governance-Strukturen für NIS2 aufbaut, legt die Basis gleich mit. Dasselbe Muster kennen Sie von der E-Rechnungspflicht ab 2027 und vom BFSG für Barrierefreiheit: Regulierung mit hartem Stichtag und persönlicher Verantwortung belohnt frühe, dokumentierte Reaktion.
Haftung und Bußgelder: welcher Betrag wofür gilt
Hier steht in den meisten Ratgebern eine Zahl, die zwar stimmt, aber am falschen Tatbestand hängt. Die 10 Millionen Euro für besonders wichtige und 7 Millionen für wichtige Einrichtungen stehen in § 65 Absatz 5 Satz 1 Nummer 1 BSIG. Sie gelten für versäumte Risikomanagementmaßnahmen nach § 30, für fehlende Dokumentation, für unterlassene oder verspätete Vorfallsmeldungen nach § 32 und für vollziehbare Anordnungen. Bei mehr als 500 Millionen Euro Gesamtumsatz treten an ihre Stelle 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes.
Die versäumte Registrierung ist ein anderer Tatbestand. Sie steht in § 65 Absatz 2 Nummer 6 BSIG und wird nach Absatz 5 Satz 1 Nummer 5 mit bis zu 500.000 Euro geahndet. Wer registriert ist, aber die geforderte Erreichbarkeit nicht sicherstellt, fällt unter Nummer 7 und riskiert bis zu 100.000 Euro.
Ein Detail, das in der Zumessung zählt: § 65 Absatz 9 BSIG schließt die Halbierung des Bußgeldrahmens bei Fahrlässigkeit nach § 17 Absatz 2 OWiG ausdrücklich nur für die schweren Fälle aus. Für den Registrierungsverstoß gilt sie damit. Bei fahrlässigem Versäumnis liegt der Rahmen also bei 250.000 Euro. Wer nachweisen kann, dass er die eigene Betroffenheit geprüft und dabei irrtümlich verneint hat, steht anders da als jemand, der die Post der Verbände seit März ignoriert.
Bei der persönlichen Haftung lohnt ein genauer Blick in § 38 BSIG. Absatz 1 verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Absatz 3 verlangt regelmäßige eigene Schulungen. Absatz 2 regelt die Haftung, und zwar subsidiär: Die Geschäftsleitung haftet ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts. Nach dem BSIG selbst haftet sie nur, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Bei GmbH und AG greifen damit die vertrauten Maßstäbe aus § 43 GmbHG und § 93 AktG. Die Haftung richtet sich gegen die Geschäftsleitung im Innenverhältnis, nicht gegenüber dem BSI.
Erste dokumentierte Bußgeldbescheide nach dem NIS2UmsuCG sind bislang nicht öffentlich bekannt. Die Aufsichtspraxis nach Fristablauf ist offen. Das ist der Grund, warum eine Selbstregistrierung mit sauber dokumentierter Aufarbeitung jetzt mehr wert ist als jede Diskussion über Wahrscheinlichkeiten: Sie beendet den Dauerzustand des Verstoßes und schafft die Grundlage, auf der eine Behörde später Kooperationsbereitschaft bewertet.
Häufige Fragen
Kann ich die NIS2-Registrierung nach dem 31. Juli 2026 noch nachholen?
Ja. Die Registrierungspflicht nach § 33 BSIG besteht unabhängig vom Fristablauf fort, das Portal des BSI bleibt geöffnet. Der 31. Juli 2026 stammt aus einem BSI-Schreiben an die Wirtschaftsverbände vom 12. Juni 2026 und stand nie im Gesetz. Eine Amnestie für die zurückliegende Zeit ist damit nicht verbunden, eine spätere Registrierung beseitigt den Verstoß für die Vergangenheit also nicht. Sie beendet ihn für die Zukunft, und genau darauf kommt es bei der Bußgeldzumessung an.
Wie hoch ist das Bußgeld für eine fehlende NIS2-Registrierung wirklich?
Bis zu 500.000 Euro. Der Verstoß gegen die Registrierungspflicht steht in § 65 Absatz 2 Nummer 6 BSIG und wird nach § 65 Absatz 5 Satz 1 Nummer 5 geahndet. Die häufig zitierten 10 Millionen Euro gelten für andere Verstöße, nämlich für versäumte Risikomanagementmaßnahmen nach § 30 und für unterlassene Vorfallsmeldungen nach § 32. Bei fahrlässiger Begehung halbiert sich der Rahmen für die Registrierung auf 250.000 Euro, weil § 65 Absatz 9 BSIG die Halbierung nach § 17 Absatz 2 OWiG nur für die schweren Fälle ausschließt.
Wie prüfe ich, ob mein Unternehmen unter NIS2 fällt?
Das BSI stellt unter bsi.bund.de einen kostenlosen Betroffenheitscheck bereit. Relevant sind drei Kriterien: Unternehmensgröße ab 50 Mitarbeitern, Umsatz ab 10 Millionen Euro und die Zugehörigkeit zu einem der Sektoren aus Anlage 1 oder 2 des BSIG. Bei Konzernstrukturen zählen verbundene Unternehmen zusammen. Unterhalb der Schwellenwerte können Unternehmen indirekt betroffen sein, wenn Kunden oder Auftraggeber NIS2-pflichtig sind und ihre Anforderungen vertraglich weitergeben.
Wie lange dauert die NIS2-Registrierung beim BSI?
Die Registrierung selbst ist ein digitaler Vorgang über das Melde- und Informationsportal des BSI. Voraussetzung ist ein Zugang über Mein Unternehmenskonto mit ELSTER-Organisationszertifikat. Das Beantragen dieses Zertifikats dauert einige Werktage und ist bei verspäteten Registrierungen der häufigste Grund für weitere Verzögerung. Wer das Zertifikat bereits hat, schafft die eigentliche Registrierung an einem Vormittag.
Quellen & Referenzen
- BSI: NIS-2 in Zahlen, offizielle Registrierungsstatistik mit Stichtag 30. Juni 2026 und Sektorverteilung. bsi.bund.de
- BSI: Informationen für NIS-2-regulierte Unternehmen, Registrierungspflicht und Ablauf über das Melde- und Informationsportal. bsi.bund.de
- Gesetze im Internet: § 65 BSIG, Bußgeldvorschriften mit den Beträgen für Registrierung, Risikomanagement und Meldepflichten. gesetze-im-internet.de
- Gesetze im Internet: § 38 BSIG, Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitungen. gesetze-im-internet.de
- BDO: Bericht zum BSI-Schreiben an die Wirtschaftsverbände vom 12. Juni 2026 samt Wortlaut und Kulanzregel. bdo.de
- ITMR Legal: rechtliche Einordnung der verpassten Registrierungsfrist und der Bußgeldsystematik, Stand 5. August 2026. itmr-legal.de
- OpenKRITIS: Einrichtungsarten, Größenschwellen und Sanktionen nach NIS2. openkritis.de
