NIS2 Registrierung: Was die Aufsicht nach der BSI-Frist prüft

Ein Stadtwerk im Mittelstand, ein Maschinenbauer mit 400 Beschäftigten: Beide haben die NIS2 Registrierung BSI zunächst als IT-Thema abgelegt. Jetzt fragt die Geschäftsleitung, was passiert, wenn die Registrierung fehlt oder unvollständig ist. Die Antwort betrifft sie persönlich, denn § 38(2) BSIG sieht eine persönliche Haftung der Geschäftsleitung vor.

Für Sie als IT-Berater, MSP oder vCISO hat sich die Frage verschoben. Sie lautet nicht mehr „Sind wir registriert?", sondern „Was verlangt die Aufsicht als Nächstes?" In Polen ist am 3. Oktober 2026 die Antragsfrist für das Register abgelaufen, in Italien läuft im Oktober die erste Frist für Basismaßnahmen. Wer grenzüberschreitend berät, hat jetzt mehrere Uhren gleichzeitig.

NIS2 Registrierung BSI: Stand und Erwartung der Aufsicht

Das NIS2UmsuCG hat das BSI-Gesetz (BSIG) neu gefasst. Ob ein Unternehmen betroffen ist, regelt § 28 BSIG. Nach § 28(4) wird das Unternehmen als wirtschaftliche Einheit nach der Empfehlung 2003/361/EG bewertet. Die Sektoren stehen in den Anlagen 1 und 2. Einrichtungen werden als besonders wichtige oder wichtige Einrichtungen eingestuft.

Die ursprüngliche Frist für die Registrierung beim BSI endete am 6. März 2026. Das BSI hat die Frist anschließend verlängert. Veröffentlichte Quellen nennen als jüngstes Fristende unterschiedlich den 31. Juli 2026 oder den 30. September 2026. Verlassen Sie sich auf keines von beiden. Prüfen Sie den Status Ihres Mandanten im BSI-Portal.

Unstrittig ist die Haltung des BSI: Die Registrierungspflicht gilt weiter, denn „Die gesetzlichen Fristen gelten unabhängig vom individuellen Umsetzungsaufwand". Das BSI hat sich außerdem „bußgeldbewehrte Schritte" vorbehalten. Der Bußgeldrahmen reicht bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Die Registrierung läuft in zwei Schritten. Wer den ersten Schritt erledigt und den zweiten offen lässt, ist nicht fertig.

Die Registrierung ist nur der erste Schritt

Ein Registereintrag belegt nur, dass sich die Einrichtung selbst als betroffen gemeldet hat. Er sagt nichts darüber, ob die Maßnahmen wirken.

Das BSI betont, dass nach der Registrierung technische und organisatorische Maßnahmen folgen, dazu die Meldepflicht für erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden und ein Risikomanagement. Für Ihre Beratung heißt das: Der Mandant fragt zuerst „Sind wir betroffen?" und danach „Können wir zeigen, was wir tun?" Ein Ordner mit Richtlinien, die niemand lebt, hält keiner Prüfung stand. Datierte, protokollierte und getestete Nachweise schon.

Italien geht denselben Weg von der Erklärung zur Prüfung. Laut veröffentlichter Kommentierung umfasst das Regelwerk der ACN für wichtige Einrichtungen 37 Maßnahmen und 87 Anforderungen, für besonders wichtige 43 Maßnahmen und 116 Anforderungen.

Die Nachbarländer: drei Regime, drei Uhren

Für Mandanten mit Standorten in Polen, Italien oder den Niederlanden zählen eigene Fristen. Das gilt auch für Mandanten mit Standorten in Österreich.

Polen. Die Novelle des KSC ist seit dem 3. April 2026 in Kraft. Der Antrag auf Eintragung in das Register war bis zum 3. Oktober 2026 zu stellen. Die Pflichten sind bis zum 3. April 2027 umzusetzen, das erste Audit bei wesentlichen Einrichtungen folgt bis zum 3. April 2028. Bußgelder für die meisten Pflichten gibt es erst ab dem 3. April 2028.

Italien. Nach D.Lgs. 138/2024 und der ACN-Festlegung 379907/2025 müssen die 2025 gelisteten Einrichtungen die Basismaßnahmen 18 Monate nach Erhalt der Aufnahmemitteilung umgesetzt haben. Die Kommentierung nennt Oktober 2026, oft den 31. Oktober. Die Mitteilungen gingen am 12. und 13. April 2025 raus, rechnerisch liegt das Ende also Mitte Oktober. Lesen Sie das Datum in der Mitteilung Ihres Mandanten. Neu gelistete Einrichtungen des Jahres 2026 haben bis zum 31. Juli 2027 Zeit (Festlegung 127434/2026). Die Meldepflicht für Vorfälle gilt in Italien seit Januar 2026.

Niederlande. Cbw und Wwke sind seit dem 15. August 2026 in Kraft. Die Registrierung erfolgt über MijnNCSC des NCSC, Änderungen sind binnen 14 Tagen zu melden, und Leitungsorgane müssen eine Schulung absolvieren.

Was die Aufsicht zuerst sehen will

Die ersten Anforderungen folgen überall einem ähnlichen Muster. Rechnen Sie mit dieser Reihenfolge:

1. Registrierungsnachweis und korrektes Einrichtungsprofil. Falscher Sektor, falsche Größenklasse oder ein veralteter Ansprechpartner sind die billigsten Feststellungen, die sich vermeiden lassen.
2. Verantwortung der Geschäftsleitung. In Deutschland haftet die Geschäftsleitung nach § 38(2) BSIG persönlich. In Italien verlangt Art. 23 des D.Lgs. 138/2024, dass die Leitung die Maßnahmen billigt, überwacht und an Schulungen teilnimmt. In den Niederlanden müssen Leitungsorgane ebenfalls geschult werden. Beleg ist ein datierter Beschluss samt Schulungsnachweisen.
3. Meldeverfahren mit drei Fristen. 24 Stunden bis zur Frühwarnung, 72 Stunden bis zur Meldung, ein Monat bis zum Abschlussbericht.
4. Inventar von Assets und Diensten. Es muss zu dem passen, was der Mandant im Portal angegeben hat. Abweichungen verraten eine zu niedrig angesetzte Betroffenheit.
5. Nachweise, dass Maßnahmen funktionieren. Datierte Restore-Tests der Backups, Berechtigungsreviews, Schwachstellenmanagement, Lieferantenverträge mit Sicherheitsklauseln.

Wo es noch kein Gesetz gibt

Nicht jeder Mandant sitzt in einem Land mit geltendem Recht. Frankreich und Spanien haben NIS2 nicht umgesetzt. Die Kommission hat beide am 8. Juli 2026 gemeinsam mit Irland und den Niederlanden an den EuGH verwiesen und fordert Pauschalbetrag und tägliche Zwangsgelder. Die Niederlande haben ihr Gesetz seither in Kraft gesetzt.

In Frankreich ist das Résilience-Gesetz nicht verkündet, es soll Anfang Oktober von der Tagesordnung genommen worden sein. Das ReCyF der ANSSI ist ein Arbeitsdokument. In Spanien liegt der Vorentwurf vom Januar 2025 weiterhin im Parlament.

Das heißt nicht, dass ein französischer oder spanischer Mandant warten kann. Seine deutschen, niederländischen und italienischen Kunden schicken Art.-21-Fragebögen die Lieferkette entlang. Die Pflicht kommt dann über den Vertrag.

Die Risikomanagementmaßnahmen nach Art. 21 als gemeinsamer Nenner

Alle nationalen Gesetze setzen dieselben zehn Risikomanagementmaßnahmen aus Art. 21(2) der Richtlinie um. Damit haben Sie eine Bewertung, die sich länderübergreifend wiederverwenden lässt, ergänzt um nationale Besonderheiten.

So gehen Sie bei einem Mandanten mit mehreren Ländern vor:

• Eine Gap-Analyse gegen Art. 21(2), abgebildet auf die jeweilige nationale Basis.
• Ein Nachweisarchiv, geordnet nach Maßnahme statt nach Land.
• Ein Kalender je Land für Registrierungsänderungen, Meldestellen und Auditdaten.

Die Methode beschreiben unsere Beiträge zur Gap-Analyse Schritt für Schritt und zu den Nachweisen, die Aufsichtsbehörden verlangen. Länderdetails finden Sie in den Beiträgen zu Polen, den Niederlanden, Italien und Frankreich und Spanien.

Warum die Reihenfolge MSPs ausbremst

Das Fehlerbild ist vorhersehbar. Ein Dienstleister erledigt die Registrierung für einen Mandanten, legt sie ab und widmet sich dem Nächsten. Sechs Monate später hat die italienische Tochter eine Frist, die niemand im Kalender hatte, weil die Mitteilung in einem Postfach landete, das keiner liest. Das Datum der Mitteilung bestimmt die italienische Uhr, nicht das Kalenderjahr.

Dasselbe gilt für Ansprechpartner. Jedes Regime erwartet eine erreichbare Person für Behörde und CSIRT. Ein ausgeschiedener Mitarbeiter als Kontakt macht aus einer Routinenachricht eine versäumte Pflicht.

Was Sie diese Woche tun

Nehmen Sie den Mandanten mit dem größten Risiko und erledigen Sie vier Dinge.

Erstens: Prüfen Sie den Registrierungsstatus in jedem Land und notieren Sie das angezeigte Datum, nicht das vermutete. Zweitens: Suchen Sie die italienische Aufnahmemitteilung und tragen Sie das 18-Monats-Datum daraus ein. Drittens: Stellen Sie sicher, dass ein datierter Beschluss der Geschäftsleitung zu den Sicherheitsmaßnahmen vorliegt. Viertens: Testen Sie das Meldeverfahren in einer 24-Stunden-Übung und halten Sie das Ergebnis fest.

Als strukturierten Einstieg bildet der NIS2 Quick-Scan den aktuellen Stand eines Mandanten in wenigen Minuten gegen die Maßnahmen nach Art. 21 ab und zeigt Nachweislücken. Es ist ein Readiness-Assessment und keine Aussage über Konformität, maßgeblich bleiben die Vorgaben der Behörden.

Die Registrierungsfenster waren das Aufwärmen. Die Prüfungen zeigen, ob die Maßnahmen je echt waren.