NIS2: Registrierungsfrist abgelaufen — was betroffene Unternehmen jetzt tun sollten

Klingt zunächst wie ein Problem für die Compliance-Abteilung großer Konzerne. Doch nach Angaben des eco Verbands der Internetwirtschaft hat rund ein Drittel aller Unternehmen und Organisationen, die unter NIS2 fallen, die Registrierungspflicht beim BSI bis zur Frist am 31. Juli 2026 nicht erfüllt — und laut eco liegt das auch an zu komplizierten Prozessen. Wer die Frist verpasst hat, riskiert jetzt empfindliche Bußgelder.

NIS2 und die Registrierungspflicht: Was verlangt wurde

Die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS2, Richtlinie 2022/2555) ist in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt worden. Die Registrierungspflicht beim BSI war dabei die erste und sichtbarste Pflicht: Betroffene Unternehmen müssen sich als Teil des Meldewesens registrieren — keine optionale Vorsichtsmaßnahme, sondern eine gesetzliche Pflicht mit konkreter Frist.

Betroffen sind Unternehmen aus 18 Sektoren, darunter Energie, Gesundheitswesen, Finanzmarkt, digitale Infrastruktur und Transport. Die Einstufung hängt von Branche und Unternehmensgröße ab. Mittlere und große Unternehmen in diesen Sektoren sind in der Regel einbezogen; in bestimmten Sektoren — etwa kritischer Infrastruktur — können auch kleinere Einheiten betroffen sein. Wer unsicher ist, ob das eigene Unternehmen fällt, kann sich über das BSI-Betroffenheitstool auf der BSI-Website orientieren.

Warum ein Drittel die Frist verpasst hat

Der eco-Verband nennt als mögliche Ursache die Komplexität der Registrierungsprozesse. Das deckt sich mit dem, was in der Praxis zu beobachten war: Die Frage, ob ein Unternehmen unter NIS2 fällt, ist nicht trivial. Sektorgrenzen, Schwellenwerte, Konzernstrukturen — all das erfordert rechtliche Einordnung. Viele Unternehmen haben die Prüfung zu spät begonnen, andere sind im Prozess stecken geblieben.

Dazu kommt ein strukturelles Problem: NIS2 wurde vielerorts als Compliance-Thema der Rechts- oder Datenschutzabteilung behandelt, nicht als operative IT-Aufgabe. Wer intern die Zuständigkeiten nicht klar geregelt hatte, ist jetzt in der Fristfalle — auch wenn die technischen Sicherheitsmaßnahmen intern vielleicht schon weit fortgeschritten sind. Fehlende Registrierung ist eine eigenständige Pflichtverletzung, unabhängig vom Umsetzungsstand der Sicherheitstechnik.

Was jetzt droht

Der Begriff „Milliardenstrafen“ bezieht sich auf das aggregierte Bußgeldpotenzial über alle säumigen Unternehmen — aber auch auf Einzelunternehmensebene sind die Beträge nicht vernachlässigbar. Die NIS2-Richtlinie sieht für wesentliche Einrichtungen Bußgelder von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes vor; für wichtige Einrichtungen liegt die Grenze bei bis zu 7 Millionen Euro oder 1,4 % — jeweils der höhere Betrag gilt (Artikel 34, Richtlinie 2022/2555).

Ob diese Maximalbeträge ausgeschöpft werden, ist eine Frage des Einzelfalls und der Verhältnismäßigkeit. Aber der Blick auf die Praxis der Datenschutzbehörden bei DSGVO-Verstößen der vergangenen Jahre zeigt: Empfindliche Sanktionen auch gegen Mittelständler sind keine Theorie. Und eine fehlende Registrierung ist — anders als viele inhaltliche Sicherheitsfragen — eindeutig feststellbar.

Was Sie jetzt konkret tun sollten

Wer die Frist verpasst hat, sollte nicht abwarten. Passivität ist keine Strategie.

1. Betroffenheit prüfen. Klären Sie, ob Ihr Unternehmen tatsächlich unter NIS2 fällt. Das BSI stellt ein Selbsteinschätzungstool bereit. Wer das bereits weiß, kann direkt zu Schritt zwei.
2. Registrierung nachholen. Eine verspätete, aber eigeninitiative Registrierung beim BSI ist besser als gar keine. Sie signalisiert Kooperationsbereitschaft — und das kann eine spätere Sanktionsentscheidung positiv beeinflussen.
3. Inhaltliche Anforderungen prüfen. Risikomanagement, Incident-Response-Prozesse, Lieferkettensicherheit, Meldewege für Sicherheitsvorfälle — die Registrierung allein schützt nicht vor weiteren Bußgeldern, wenn die Substanz fehlt.

Quellen: Computerwoche — „NIS2-Umsetzung: Jetzt drohen Milliardenstrafen“ (https://www.computerwoche.de/article/4206702/nis2-umsetzung-jetzt-drohen-milliardenstrafen.html); Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (NIS2-Richtlinie), Artikel 34