.svg)
Einleitung
Die Nachfrist des BSI für die NIS2-Registrierung ist am 31. Juli 2026 abgelaufen. Der gesetzliche Registrierungstermin lag bereits am 6. März 2026. Wer bis heute nicht registriert ist, befindet sich damit seit März im Rechtsverstoß, und die Phase behördlicher Nachsicht ist beendet. Schon die verspätete Registrierung allein kann bis zu 500.000 Euro kosten, bei Verstößen gegen weitere NIS2-Pflichten liegen die Obergrenzen deutlich höher.
Die Registrierung nachzuholen bleibt trotzdem der richtige Schritt, und zwar unverzüglich. Dieser Artikel erklärt, was nach Ablauf der Frist gilt, wer überhaupt registrierungspflichtig ist, welche Konsequenzen drohen und wie Sie von der versäumten Registrierung zu der kontinuierlichen Compliance kommen, die NIS2 tatsächlich verlangt.
Was nach Ablauf der Frist gilt
Der 31. Juli 2026 war kein gesetzlicher Stichtag, sondern eine Nachfrist. Das ist ein wichtiger Unterschied: Die rechtliche Pflicht zur Registrierung bestand bereits vorher, und sie besteht unverändert weiter. Was am 31. Juli endete, war lediglich die Bereitschaft des BSI, die Durchsetzung aufzuschieben.
Deutschland hat die EU-Richtlinie über ein novelliertes BSI-Gesetz umgesetzt, das am 6. Dezember 2025 in Kraft trat. Eine Übergangsfrist sieht der Gesetzestext nicht vor, die Pflichten galten also vom ersten Tag an. Die dreimonatige Registrierungsfrist endete daraufhin am 6. März 2026.
Die Zahlen erklären, warum das BSI überhaupt eine Nachfrist gesetzt hat. Bis Ende Mai 2026 hatten sich rund 18.500 von geschätzt 29.000 bis 40.000 betroffenen Organisationen registriert. Mehr als die Hälfte der Unternehmen im Anwendungsbereich war zu diesem Zeitpunkt nicht compliant. Angesichts dieser Lücke entschied sich die Behörde für eine letzte Mahnung statt für sofortige Sanktionen. Diese Mahnung ist jetzt verstrichen.
Rechnen Sie also nicht mit einer weiteren Verlängerung. Das BSI hat deutlich gemacht, dass Nachsicht Grenzen hat, und die Aufsicht wird mit der Reife des Regimes strenger, nicht milder.
Registrierung versäumt: Was Sie jetzt konkret tun sollten
Registrieren Sie sich unverzüglich, auch verspätet. Eine freiwillige Nachregistrierung ist aufsichtsrechtlich etwas anderes als fortgesetzte Nichtregistrierung, und der Zeitpunkt, zu dem Sie Ihre Pflicht erfüllen, ist Teil der Bewertung Ihres Verhaltens.
Dokumentieren Sie dabei, wann Sie Ihre Betroffenheit festgestellt haben und warum die Registrierung nicht früher erfolgt ist. Diese Dokumentation kostet Sie eine halbe Stunde und ist der Unterschied zwischen einem nachvollziehbaren Ablauf und einem unerklärten Versäumnis.
Beginnen Sie die Gap-Analyse parallel, nicht danach. Das ist die wichtigste Änderung gegenüber der Situation vor dem 31. Juli. Solange die Registrierungsfrist lief, war die Registrierung selbst der dringlichste Schritt. Jetzt kann das BSI Nachweise über die Sicherheitsmaßnahmen verlangen und nicht nur die Registrierung prüfen. Wer sich heute registriert und erst in sechs Monaten mit den Maßnahmen beginnt, hat die kleinere Pflicht erfüllt und die größere offen gelassen.
Wer registrierungspflichtig ist
Sie sind registrierungspflichtig, wenn Ihre Haupttätigkeit einem der 18 Sektoren aus Anlage 1 oder Anlage 2 des BSIG zuzuordnen ist und Ihr Unternehmen die Größenschwellen erreicht. Maßgeblich ist die tatsächliche Tätigkeit, nicht der Eintrag im Handelsregister.
Die Schwellen sind als „oder" zu lesen: Sie fallen in den Anwendungsbereich, sobald entweder die Beschäftigtenzahl erreicht ist oder beide Finanzkennzahlen gemeinsam überschritten werden. Bei der Berechnung gilt die KMU-Empfehlung der Europäischen Kommission, nach der verbundene und beteiligte Unternehmen mitzählen. Eine Tochtergesellschaft mit 30 Beschäftigten kann über die Konzernstruktur die Schwelle von 50 überschreiten, was regelmäßig mittelständische Töchter überrascht, die sich als eigenständige Kleinunternehmen betrachten.
Ein entscheidendes Detail bringt viele Teams ins Straucheln: Es gibt kein behördliches Schreiben, das Ihnen Ihre Betroffenheit mitteilt. Die Pflicht zur Selbstidentifikation liegt vollständig bei Ihnen, und eine Fehleinschätzung ist in beide Richtungen teuer. Wenn Ihr Unternehmen Cloud-Software verkauft, eine verwaltete Plattform betreibt oder einen regulierten Kundenstamm beliefert, gehen Sie von Betroffenheit aus, bis eine saubere Bewertung das Gegenteil belegt.
Unabhängig von der Größe gelten die Pflichten für bestimmte Einrichtungsarten ohnehin, etwa für qualifizierte Vertrauensdiensteanbieter, Anbieter von DNS-Diensten und TLD-Namenregistries sowie Betreiber kritischer Anlagen.
Welche Konsequenzen jetzt drohen
Wer nicht registriert ist, setzt das Unternehmen Bußgeldern, behördlichen Anordnungen und die Geschäftsleitung persönlicher Haftung aus.
Der finanzielle Rahmen unterscheidet sich nach Kategorie. Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Für die verspätete Registrierung allein sind bis zu 500.000 Euro vorgesehen.
Das finanzielle Risiko ist dabei nur die Schlagzeile. NIS2 knüpft die Verantwortlichkeit ausdrücklich an die Leitungsebene, was bedeutet, dass Geschäftsführer und leitende Organe persönlich für Versäumnisse in der Cyber-Risiko-Governance haftbar gemacht werden können. Das ist eine bewusste Entscheidung des Gesetzgebers, um Informationssicherheit von einer Backoffice-Aufgabe zu einer Aufgabe der Geschäftsleitung zu machen. Hinzu kommt eine eigenständige Pflicht der Leitungsebene, sich regelmäßig zu schulen.
Über Bußgelder hinaus kann das BSI verbindliche Anordnungen erlassen, Compliance-Nachweise verlangen und die Aufsicht verschärfen. Für eine besonders wichtige Einrichtung kann das Prüfungen und externe Audits auf eigene Kosten bedeuten.
Es gibt außerdem einen leiseren Preis. Enterprise-Kunden, Versicherer und Partner fragen den NIS2-Status inzwischen in der Beschaffung ab. Eine fehlende Registrierung wird zum Deal-Blocker, lange bevor eine Behörde anklopft, und einen ins Stocken geratenen Enterprise-Vertrag wieder in Gang zu bringen ist deutlich teurer als eine Registrierung. Für einen regulierten Kunden ist Ihre Compliance-Lücke seine Compliance-Lücke, und genau deshalb prüft er darauf.
Lesen Sie hier mehr zu den häufigsten NIS-Irrtümer.
Die Registrierung ist nur der Anfang
Die Registrierung beim BSI erfüllt eine Pflicht, doch NIS2 ist ein fortlaufendes Programm und kein einzelnes Formular. Verlangt werden laufendes Risikomanagement, Meldung von Vorfällen, Lieferkettensicherheit und eine nachweisbare Governance, die über die Zeit Bestand hat.
Die Meldepflicht ist die schärfste Kante. NIS2 schreibt eine Erstmeldung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls vor, gefolgt von einer ausführlicheren Meldung nach 72 Stunden und einem Abschlussbericht nach einem Monat. Diese Fristen lassen sich unter Druck nicht improvisieren, weshalb Zuständigkeiten, Meldewege und Berichtsvorlagen vorher festgelegt sein müssen.
Dazu kommt die Substanz der Sicherheitsmaßnahmen. Das Gesetz erwartet Risikoanalyse, Zugriffskontrolle, Kryptografie, Lieferantenbewertung, Mitarbeiterschulungen und regelmäßige Tests der Wirksamkeit Ihrer Kontrollen. Viele dieser Anforderungen decken sich eng mit etablierten Standards, und NIS2 durch die Brille von ISO 27001 zu lesen ist einer der effizientesten Wege, beides zugleich zu erfüllen.
Die Lieferkettensicherheit verdient besondere Aufmerksamkeit, denn hier unterschätzen viele Organisationen ihre Exposition. NIS2 macht Sie für die Sicherheitslage Ihrer direkten Lieferanten und Dienstleister mitverantwortlich, nicht nur für Ihre eigenen Systeme. Das bedeutet vertragliche Sicherheitsklauseln, Risikobewertungen von Anbietern und einen klaren Überblick darüber, welche Dritten zum Einfallstor werden könnten. Wenn Sie von Cloud-Anbietern oder verwalteten Diensten abhängen, werden deren Schwächen zu Ihrem regulatorischen Problem.
Ein realistischer Weg sieht so aus: Betroffenheit und Kategorie klären, unverzüglich im BSI-Portal registrieren, Gap-Analyse gegen die Sicherheitsmaßnahmen durchführen, Lücken mit dokumentierten Richtlinien, technischen Kontrollen und Lieferantenprüfungen schließen, einen Meldeprozess für 24 Stunden einrichten und testen, und Nachweise so pflegen, dass Sie Compliance jederzeit belegen können.
Wie Kertos Sie jetzt unterstützt
Kertos verbindet die Plattform mit zertifizierten Experten, sodass Sie von einem unklaren Anwendungsbereich zu einem belastbaren NIS2-Programm kommen, ohne das Tempo aus dem laufenden Geschäft zu nehmen.
Automatisierung verändert dabei vor allem die Rechnung beim Aufwand. Kertos automatisiert die Erfassung von Nachweisen, das Mapping von Kontrollen und die Dokumentation und verdichtet damit die manuelle Arbeit, die ein NIS2-Projekt sonst über viele Monate streckt.
Ebenso wichtig ist die Behandlung von NIS2 als kontinuierliche Compliance statt als einmaliges Projekt. Sobald Sie registriert sind, hält die Plattform Risikoregister, Richtlinien und Vorfallsprozesse aktuell, sodass die 24-Stunden-Uhr und die nächste Prüfung Sie nicht unvorbereitet treffen.
Häufige Fragen
Kann ich mich nach Ablauf der Frist noch registrieren?
Ja, und Sie sollten es unverzüglich tun. Die Pflicht zur Registrierung ist mit dem Fristablauf nicht entfallen, sie ist überfällig. Eine freiwillige Nachregistrierung wird aufsichtsrechtlich anders bewertet als fortgesetzte Nichtregistrierung.
Wie hoch ist das Bußgeld bei versäumter Registrierung?
Für die verspätete Registrierung allein sind bis zu 500.000 Euro vorgesehen. Verstöße gegen weitere NIS2-Pflichten tragen höhere Obergrenzen, bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Die Geschäftsleitung kann persönlich haftbar gemacht werden.
Benachrichtigt mich das BSI, wenn mein Unternehmen betroffen ist?
Nein. Es gibt keine behördliche Benachrichtigung. Ihre Organisation muss selbst bewerten, ob sie als besonders wichtige oder wichtige Einrichtung gilt. Eine strukturierte Betroffenheitsprüfung ist der sicherste erste Schritt.
Reicht die Registrierung für NIS2-Compliance aus?
Nein. Die Registrierung ist eine Pflicht unter mehreren. Sie müssen außerdem Risikomanagementmaßnahmen umsetzen, Lieferanten prüfen, Mitarbeitende und die Geschäftsleitung schulen und einen Meldeprozess innerhalb von 24 Stunden vorhalten und diese Nachweise fortlaufend pflegen.
Gibt es eine weitere Verlängerung?
Damit sollten Sie nicht planen. Der 31. Juli war bereits die Nachfrist zu einem gesetzlichen Termin, der im März verstrichen ist.
Schluss
Die NIS2-Frist ist kein Datum am Horizont mehr, sondern ein überschrittener Termin. Für nicht registrierte Unternehmen ist die Lage damit unbequemer als vor dem Sommer, aber sie ist auch eindeutig: Registrierung nachholen, Betroffenheit dokumentieren, Maßnahmen parallel angehen. Die Unternehmen, die jetzt handeln, vermeiden nicht nur ein Bußgeld, sondern bauen die Grundlage, aus der NIS2 ein Nachweis statt einer Bedrohung wird.
Jetzt kostenlose Demo anfragen.
