NIS2-Registrierungslücke: Meldepflicht beim BSI — so prüfen Sie jetzt, ob Ihr Unternehmen betroffen ist

Rund 29.500 Unternehmen sollten sich nach Erwartung des BSI inzwischen als NIS2-pflichtig registriert haben. Berichten zufolge klafft zwischen Erwartung und Wirklichkeit eine erhebliche Lücke. Das klingt nach einem Problem zwischen Behörde und Statistik — ist es aber nicht: Wer unter NIS2 fällt und die Meldepflicht bislang ignoriert hat, steht vor einer Frist, die morgen, am 31. Juli 2026, ausläuft.

NIS2 ist seit der deutschen Umsetzung im NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) kein Entwurf mehr, sondern geltendes Recht. Unternehmen in den betroffenen Sektoren sind verpflichtet, sich beim BSI zu registrieren — mit Angaben zur Organisation, Kontaktdaten und Ansprechpartnern für IT-Sicherheitsvorfälle.

Wen NIS2 trifft

NIS2 unterscheidet zwei Kategorien: „wesentliche“ und „wichtige“ Einrichtungen. Wesentliche Einrichtungen kommen aus Kernbereichen wie Energie, Gesundheit, Verkehr, Bankwesen, Trinkwasser und digitaler Infrastruktur. Wichtige Einrichtungen umfassen unter anderem Post- und Kurierdienste, Chemie, Lebensmittelproduktion, Maschinenbau und verschiedene digitale Dienstleister. Als Faustformel gilt: Unternehmen ab etwa 50 Mitarbeitern oder einem Jahresumsatz von 10 Millionen Euro in einem dieser Sektoren fallen in der Regel unter die Richtlinie — wobei die genaue Einstufung von Sektor und Unternehmensgröße abhängt und im Einzelfall geprüft werden muss.

„Wir haben keine kritische Infrastruktur“ ist ein häufiger Irrtum. NIS2 geht weit über klassische KRITIS-Unternehmen hinaus. Zulieferer, IT-Dienstleister, Hersteller und viele andere können betroffen sein, ohne sich dessen bewusst zu sein.

Warum die Lücke entstand

29.500 fehlende Registrierungen entstehen nicht aus Böswilligkeit. Viele Mittelständler treffen mit NIS2 erstmals auf konkrete IT-Sicherheitspflichten, die über das Altbekannte hinausgehen. Die Sektorgrenzen sind in Teilen komplex, die eigene Betroffenheit oft unklar — und das Thema wanderte über den Winter in vielen Unternehmen in den Hintergrund. Das Ergebnis ist eine strukturelle Registrierungslücke, offenbar groß genug, dass eine Nachmeldefrist bis zum 31. Juli 2026 eingeräumt wurde.

Diese Frist endet morgen.

Was Sie jetzt prüfen sollten

Zwei Fragen entscheiden, ob Handlungsbedarf besteht:

1. Sektor: Ist Ihr Kerngeschäft einem der NIS2-Sektoren zuzuordnen? Das BSI stellt Orientierungshilfen bereit, die die Einordnung erleichtern sollen.
2. Größe: Beschäftigt Ihr Unternehmen 50 oder mehr Mitarbeiter, oder übersteigt Ihr Jahresumsatz 10 Millionen Euro? Sehr kleine Unternehmen sind in der Regel ausgenommen — mit Ausnahmen für besonders kritische Bereiche.

Treffen beide Punkte zu, ist die Registrierung beim BSI der nächste Schritt — heute, nicht nach der Sommerpause. Die Registrierung selbst ist ein Online-Prozess; die nötigen Angaben — Sektoreinordnung, Kontaktpersonen, grundlegende Organisationsdaten — sollten sich in den meisten Unternehmen schnell zusammenstellen lassen.

Was nach dem 31. Juli gilt

Dazu äußert sich die Quelle nicht abschließend. Ob und wie das BSI mit nicht-registrierten Unternehmen umgehen wird, bleibt nach aktuellem Kenntnisstand offen. Eines ist jedoch klar: Die Pflicht entfällt nicht, wenn die Frist verstreicht. Wer nach einem Sicherheitsvorfall von Behörden nach dem Registrierungsstatus gefragt wird, steht dann ohne belastbare Antwort da.

Kurz gesagt: Prüfen Sie heute.

Quellen: borncity — „Das Problem der NIS-2-Registrierungslücke; Meldung bis 31. Juli 2026 möglich“ (https://borncity.com/blog/2026/07/30/das-problem-der-nis-2-registrierungsluecke-meldung-bis-31-juli-2026-moeglich/)