NIS2-Registrierung: so läuft sie.

Jede besonders wichtige und jede wichtige Einrichtung nach §28 BSIG, dazu Domain-Name-Registry-Dienstleister. Ob Sie dazugehören, klären Sie vorher mit der Betroffenheitsprüfung. Wer nur als Lieferant einer betroffenen Einrichtung Anforderungen bekommt, muss sich nicht registrieren.

Registrieren müssen Sie sich spätestens drei Monate, nachdem Sie erstmals oder erneut als Einrichtung gelten (§33 Abs. 1 BSIG). Für alle, die seit dem Inkrafttreten am 06.12.2025 betroffen sind, endete die Frist am 06.03.2026. Das Portal ist seit dem 06.01.2026 offen. Die Nachfrist, die das BSI den Verbänden bis 31.07.2026 in Aussicht gestellt hatte, ist ebenfalls vorbei.

Wer später über die Schwelle wächst oder ein neues erfasstes Angebot startet, hat wieder drei Monate ab diesem Zeitpunkt.

1. Betroffenheit prüfen und das Ergebnis dokumentieren.
2. Mein Unternehmenskonto (MUK) einrichten. Es basiert auf ELSTER. Sie brauchen die Steuernummer der juristischen Person. Der Aktivierungscode kommt per Brief an die ELSTER-Kontaktadresse des Unternehmens, oft die Buchhaltung, nicht an die Person, die registriert. Planen Sie die Postlaufzeit ein.
3. Im BSI-Portal mit dem MUK anmelden und die Angaben einreichen. Wer die erste Registrierung anlegt, verwaltet später die Berechtigungen. Klären Sie intern, wer das ist und wer die ELSTER-Zugangsdaten verwahrt.

§33 Abs. 1 BSIG nennt:

• Name, gegebenenfalls Rechtsform und Handelsregisternummer.
• Anschrift und aktuelle Kontaktdaten, inklusive E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern.
• Den Sektor bzw. die Branche nach Anlage 1 oder 2.
• Die EU-Mitgliedstaaten, in denen Sie erfasste Dienste erbringen.
• Die zuständigen Aufsichtsbehörden des Bundes und der Länder.

Ändert sich etwas davon, müssen Sie das unverzüglich mitteilen, spätestens zwei Wochen, nachdem Sie davon erfahren (§33 Abs. 5 BSIG). Öffentliche IP-Bereiche und Kontaktdaten ändern sich häufiger, als man denkt. Legen Sie fest, wer sie pflegt.

• Das BSI kann Sie im Einvernehmen mit der zuständigen Aufsicht selbst registrieren (§33 Abs. 3 BSIG) und Unterlagen anfordern, wenn es Anhaltspunkte für eine fehlende Registrierung hat (§33 Abs. 4).
• Der Bußgeldrahmen für einen Verstoß gegen die Registrierungspflicht reicht bis 500.000 € (§65 BSIG).
• Öffentlich dokumentierte Bußgeldverfahren gibt es bislang nicht. Das ist kein Grund zu warten: Die Registrierung kostet wenig Aufwand und ist die Voraussetzung für alles Weitere.

Mit der Registrierung ist keine andere Pflicht erfüllt. Als Nächstes brauchen Sie einen funktionierenden Meldeweg für erhebliche Sicherheitsvorfälle (24 Stunden, 72 Stunden, ein Monat), die Risikomanagementmaßnahmen nach §30 BSIG und eine geschulte Geschäftsleitung, die für die Umsetzung der Maßnahmen sorgt und sie überwacht.