NIS2 in Deutschland: Registrierungsfrist abgelaufen, was das BSI tun darf

Zwei Zahlen vom BSI

Bis zum 30. September 2026 haben sich 20.141 Einrichtungen nach NIS2 registriert, der EU-Vorgabe zur Sicherheit von Netz- und Informationssystemen. Das meldet das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seiner Auswertung zu diesem Stichtag. Auf einer anderen Seite nennt das Amt die Zahl, mit der es rechnet: Für „ca. 29.500“ besonders wichtige und wichtige Einrichtungen ergeben sich erstmals gesetzliche Pflichten.

Zwischen beiden Zahlen liegen rechnerisch rund 9.400 Einrichtungen, knapp ein Drittel. Das ist unsere eigene Rechnung, keine Angabe des BSI. Eindeutig ist dagegen, was das Amt zur Frist schreibt: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Wer betroffen ist, soll sich laut BSI „umgehend“ registrieren. Und das Gesetz erlaubt dem BSI, eine fehlende Registrierung selbst vorzunehmen.

Dieser Beitrag erklärt, was hinter den Zahlen steht, wer sich registrieren muss und was ein Betrieb tun kann, der unsicher ist. Er ersetzt keine Rechtsberatung.

Auf einen Blick

• Rechtsgrundlage: das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie, in Kraft seit dem 6. Dezember 2025. Die Regeln zu Einstufung und Registrierung stehen im BSI-Gesetz (BSIG).
• Stand 30. September 2026: 20.141 registrierte Einrichtungen; erwartet sind laut BSI ca. 29.500.
• Frist: spätestens drei Monate, nachdem eine Einrichtung betroffen ist (§ 33 Abs. 1 BSIG). Laut BSI abgelaufen.
• Befugnis: Das BSI kann eine Registrierung selbst vornehmen, wenn die Pflicht nicht erfüllt wird (§ 33 Abs. 3 BSIG).
• Betriebe unter 50 Beschäftigten: erfasst, wenn sie zu einer Einrichtungsart aus den Anlagen des BSIG gehören und Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen; einige Einrichtungsarten auch unabhängig von der Größe (§ 28 BSIG).
• Nächste Zahlen: laut BSI voraussichtlich zum 31. Januar 2027.

Was die Zahlen des BSI zeigen

Das BSI veröffentlicht die Registrierungen auf seiner Seite NIS-2 in Zahlen. Die Auswertung zum 30. September 2026 sieht so aus:

KRITIS steht für kritische Infrastrukturen. Die 1.447 Einrichtungen aus diesem Bereich sind ein Teil der besonders wichtigen. EnWG steht für Energiewirtschaftsgesetz, DNR-Dienstleister sind Dienstleister rund um die Registrierung von Internetadressen. Dass diese zusammen 52 Einrichtungen zu den 20.141 gehören, ist unsere Rechnung: 20.141 minus 13.252 minus 6.837 ergibt genau 52.

Die Vergleichszahl stammt von der BSI-Seite NIS-2-Pflichten, die kein Standdatum trägt. Dort schreibt das Amt, dass sich für „ca. 29.500“ Einrichtungen „erstmals gesetzliche Pflichten“ ergeben. Teilt man 20.141 durch 29.500, kommt man auf rund 68 Prozent. Daraus ergibt sich die Lücke von knapp einem Drittel.

Wie viele Einrichtungen ihre Pflicht tatsächlich versäumt haben, sagt das BSI nicht. Die erwartete Zahl trägt selbst ein „ca.“. Die Lücke ist deshalb eine Größenordnung, keine genaue Zählung.

Welche Frist abgelaufen ist

Die Registrierungspflicht steht in § 33 BSIG (Wortlaut auf gesetze-im-internet.de). Das BSI fasst sie so zusammen: „Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut NIS-2-betroffen sind, registrieren.“

Ein festes Datum nennt das BSI nicht. Für Einrichtungen, die schon beim Inkrafttreten am 6. Dezember 2025 betroffen waren, ergibt sich rechnerisch der 6. März 2026. Auch das ist unsere Rechnung.

Wichtig ist die Formulierung „erstmals oder erneut“. Die Frist ist kein einmaliger Stichtag. Wer erst später unter das Gesetz fällt, hat ab diesem Zeitpunkt drei Monate. Ändern sich Angaben nach der Registrierung, sind die Änderungen innerhalb von zwei Wochen fällig (§ 33 Abs. 5 BSIG).

Die Registrierung läuft laut BSI in zwei Schritten. Zuerst beantragt die Einrichtung ein ELSTER-Organisationszertifikat über den digitalen Dienst „Mein Unternehmenskonto“. Danach folgt die Registrierung im BSI-Portal.

Was das BSI tun darf

Für Einrichtungen, die sich nicht registrieren, enthält § 33 BSIG eine klare Regel. Nach Absatz 3 kann das BSI die Registrierung „im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird“. Nach Absatz 4 kann es außerdem Unterlagen und Auskünfte verlangen.

Für einen betroffenen Betrieb heißt das: Wer die Registrierung auslässt, bleibt nicht einfach außerhalb des Registers. Das BSI kann ihn eintragen und Unterlagen anfordern.

Am Rande: Laut einem Bericht von Tagesspiegel Background vom 8. Oktober 2026 will das BSI eine Initiative beginnen, um die NIS2-Pflichten durchzusetzen. Eine eigene Mitteilung des BSI dazu haben wir bei unserer Recherche am 14. Oktober 2026 auf den Seiten des Amts nicht gefunden. Was das Amt konkret plant und ab wann, können wir deshalb nicht verlässlich sagen.

Wer sich registrieren muss

Wer betroffen ist, regelt § 28 BSIG (Wortlaut auf gesetze-im-internet.de). Das Gesetz unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen. Entscheidend sind zwei Fragen: Gehört der Betrieb zu einer Einrichtungsart, die in Anlage 1 oder 2 des BSIG steht? Und ist er groß genug?

Wichtige Einrichtung ist nach § 28 Abs. 2 Nr. 3, wer zu einer Einrichtungsart aus Anlage 1 oder 2 gehört und entweder mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.

Besonders wichtige Einrichtung ist nach § 28 Abs. 1 Nr. 4, wer zu einer Einrichtungsart aus Anlage 1 gehört und entweder mindestens 250 Mitarbeiter beschäftigt oder mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme aufweist.

Gerechnet wird nach der EU-Empfehlung 2003/361/EG. Daten von Partner- oder verbundenen Unternehmen sind nach § 28 Abs. 4 unter Umständen nicht hinzuzurechnen.

Anlage 1 nennt die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Anlage 2 nennt Post- und Kurierdienste (unter Transport und Verkehr), Abfallbewirtschaftung, Chemische Stoffe, Lebensmittel, Verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste und Forschung. Zum verarbeitenden Gewerbe gehören unter anderem die Herstellung von Medizinprodukten, der Maschinenbau sowie der Bau von Kraftwagen und sonstigen Fahrzeugen. Maßgeblich ist jeweils die Einrichtungsart, die die Anlage nennt, nicht allein der Name der Branche.

Für kleine Betriebe ist ein Detail wichtig. Die Größenschwelle für wichtige Einrichtungen erreicht ein Betrieb mit weniger als 50 Beschäftigten nur, wenn Umsatz und Bilanzsumme beide über 10 Millionen Euro liegen. Ein hoher Umsatz allein reicht nach dem Wortlaut nicht. Einige Einrichtungsarten erfasst § 28 aber unabhängig von der Größe als besonders wichtig (Abs. 1 Nr. 1 und 2), unter anderem:

• Betreiber kritischer Anlagen,
• qualifizierte Vertrauensdiensteanbieter,
• Namensregister für Top-Level-Domains, also für Endungen von Internetadressen wie .de,
• Anbieter von DNS-Diensten, die Internetadressen in die technischen Adressen der Server übersetzen.

Vertrauensdiensteanbieter gelten nach § 28 Abs. 2 Nr. 1 unabhängig von der Größe als wichtige Einrichtungen; die qualifizierten unter ihnen zählen, wie oben genannt, zu den besonders wichtigen. Ob einer dieser Fälle vorliegt, ist eine Rechtsfrage. Eine eigene Liste von Ausnahmen stellen wir hier bewusst nicht auf.

Was ein Betrieb tun kann, der noch nicht registriert ist

1. Betroffenheit klären. Auf seiner Seite NIS-2-regulierte Unternehmen verlinkt das BSI eine NIS-2-Betroffenheitsprüfung. Sie ist ein Einstieg; wie sie im Einzelnen fragt, haben wir nicht geprüft. Bei Grenzfällen, etwa mit verbundenen Unternehmen oder unklarer Sektorzuordnung, gehört die Einstufung in die Rechtsberatung.
2. Wenn betroffen: Registrierung nachholen. Das BSI rät, sich „umgehend“ zu registrieren. Fragen Sie intern, ob Ihr Betrieb bereits ein ELSTER-Organisationszertifikat hat. Falls nicht, ist der Antrag über „Mein Unternehmenskonto“ der erste Schritt, danach folgt das BSI-Portal.
3. Wenn nicht betroffen: Ergebnis festhalten. Notieren Sie, wann und auf welcher Grundlage Sie die Frage geprüft haben. Ändern sich Beschäftigtenzahl, Umsatz oder Tätigkeit, prüfen Sie erneut. Die Frist von drei Monaten gilt auch für Einrichtungen, die erst später betroffen sind.
4. Angaben pflegen. Wer registriert ist, meldet Änderungen innerhalb von zwei Wochen (§ 33 Abs. 5 BSIG). Legen Sie fest, wer im Betrieb dafür zuständig ist.
5. Die eigenen IT-Grundlagen kennen. Unabhängig von NIS2 hilft eine kurze Übersicht: Wer greift auf welche Systeme zu, wie werden Daten gesichert, wie kommen Updates auf die Geräte? Wird Ihre IT extern betreut, bitten Sie Ihren Dienstleister um diese Übersicht. Wie Kunden mit NIS2-Pflichten auf Lieferanten zugehen können, zeigt unser Beitrag zum NISG 2026 in Österreich am Beispiel des Nachbarlands.

Was offen ist

Stand der Recherche: 12. Oktober 2026.

• Durchsetzung. Die angekündigte Initiative kennen wir nur aus dem Bericht von Tagesspiegel Background. Wann und wie das BSI vorgeht, konnten wir an keiner Quelle des Amts prüfen.
• Größe der Lücke. Die rund 9.400 fehlenden Registrierungen sind unsere Rechnung aus zwei BSI-Zahlen. Die erwartete Zahl ist eine Circa-Angabe auf einer Seite ohne Standdatum. Eine Angabe des BSI, wie viele Einrichtungen ihre Pflicht versäumt haben, haben wir nicht gefunden.
• Neue Zahlen. Die nächste Aktualisierung seiner Auswertung plant das BSI voraussichtlich zum 31. Januar 2027.
• Ihr Einzelfall. Sektorzuordnung, verbundene Unternehmen und die größenunabhängigen Fälle lassen sich nur im Einzelfall beurteilen.

Einordnung

Für einen kleinen Betrieb ist die erste Frage nicht, wie streng das BSI durchgreift, sondern ob das Gesetz ihn überhaupt erfasst. Die Antwort hängt an Sektor, Größe und einigen Sonderfällen in § 28 BSIG. Wer erfasst ist und sich nicht registriert hat, holt das nach. Sonst kann das BSI die Registrierung selbst vornehmen.

Einen Überblick über die Pflichten erfasster Einrichtungen in Deutschland gibt unser Beitrag NIS2 im Mittelstand. Dieser Beitrag ist keine Rechtsberatung; ob Ihr Betrieb betroffen ist, klären Sie mit Ihrer Rechtsberatung. Bei der technischen Seite, etwa Datensicherung, Schutz der Arbeitsplatzrechner, Firewall oder Updates, unterstützt Toptronix Sie gern.