NIS2-Registrierung: Die Pflicht, die Tausende deutsche Einrichtungen noch nicht erfüllt haben

Das BSI schätzt, dass rund 29.500 Einrichtungen unter das NIS2-Umsetzungsgesetz fallen. Die gesetzliche Registrierungsfrist lief am 6. März 2026 ab. Bis zum 30. Juni 2026 hatten sich nach Angaben des BSI 17.729 Unternehmen registriert. Gemessen an der eigenen Schätzung des BSI bleiben damit fast 12.000 Organisationen, die wahrscheinlich im Anwendungsbereich liegen, zur Registrierung verpflichtet sind — und es nicht getan haben.

Die Reaktion des BSI war bislang kein Bußgeld, sondern eine klare Ansage auf seiner NIS-2-Seite: Die gesetzliche Frist ist abgelaufen, und wer betroffen ist und sich noch nicht registriert hat, muss das umgehend nachholen.

Wenn Sie einen MSP oder eine Beratung mit deutschen Kunden führen, ist jeder nicht registrierte Kunde bereits überfällig. Und die Registrierung ist die eine Pflicht, die Sie nachträglich nicht im Sprint reparieren können, denn das Register ist mit Zeitstempel versehen.

Registrierung ist eine eigene Pflicht neben Artikel 21 — und kommt zuerst

Die meisten Compliance-Gespräche beginnen bei den Sicherheitsmaßnahmen. Risikoanalyse, Incident Handling, Backups, MFA, Lieferkette. Artikel-21-Arbeit.

Die Registrierung steht völlig daneben. Sie folgt aus Artikel 3(4) NIS2, der Mitgliedstaaten zur Erstellung einer Liste wesentlicher und wichtiger Einrichtungen verpflichtet, und aus Artikel 27, der bestimmte Einrichtungen der digitalen Infrastruktur zur Übermittlung identifizierender Daten verpflichtet. Die Mitgliedstaaten setzen das über ein eigenes Einrichtungsregister um.

Der praktische Unterschied zählt: Artikel-21-Pflichten werden über die Zeit im Audit bewertet, mit Raum, Fortschritt zu zeigen. Registrierung ist binär. Sie stehen an einem bestimmten Datum im Register — oder nicht.

Deshalb schaut eine Aufsichtsbehörde zuerst dorthin. Es kostet die Behörde nichts, das Register mit einer Branchenliste aus dem Handelsregister abzugleichen. Nicht registrierte Einrichtungen sind das billigste Vollzugsziel der gesamten Richtlinie.

Jeder Mitgliedstaat betreibt sein eigenes Register, nach eigener Uhr

Es gibt kein EU-weites NIS2-Registrierungsportal. Jede Umsetzung schafft ein eigenes Register, ein eigenes Portal und eine eigene Frist — und diese Fristen verteilen sich inzwischen über einen Zeitraum von zwei Jahren.

Deutschland: Das NIS2UmsuCG trat am 6. Dezember 2025 in Kraft, das BSI-Portal öffnete am 6. Januar 2026, die gesetzliche Registrierungsfrist war der 6. März 2026, drei Monate nach Inkrafttreten (§ 33 BSIG). Für alle Betroffenen, die sich noch nicht registriert haben, ist die Registrierung jetzt überfällig.

Belgien: Die Registrierung beim Centre for Cybersecurity Belgium über Safeonweb@work endete am 18. März 2025. Belgien setzte früh um, belgische Einrichtungen, die erst 2026 mit NIS2 begonnen haben, sind also bereits über ein Jahr im Verzug.

Niederlande: Die Erste Kammer verabschiedete das Cyberbeveiligingswet am 7. Juli 2026. Es tritt am 15. August 2026 in Kraft, und die Registrierung über das NCSC-Einrichtungsregister wird ab diesem Datum verpflichtend. Rund 8.000 niederländische Organisationen dürften in den Anwendungsbereich fallen, beaufsichtigt von der RDI über neun Sektoren.

Italien: Die Registrierung nach Gesetzesdekret 138/2024 läuft über das ACN-Portal in einem jährlichen Zyklus, mit einem festen Zeitfenster pro Jahr statt einer einmaligen Frist.

Für einen MSP mit Kunden in vier Ländern sind das vier Portale, vier Rechtsgrundlagen, vier Sätze verpflichtender Datenfelder und vier Termine. Es gibt keine Variante, in der eine einzige Tabellenspalte "NIS2: ja/nein" ausreicht.

Der Registrierungsstatus Ihres Kunden ist Ihr Problem, bevor er seins ist

Das Muster sehen wir immer wieder. Ein MSP leistet solide technische Arbeit — Segmentierung, EDR-Rollout, Backup-Tests, MFA auf allem, was es verträgt. Zwölf Monate echte Sicherheitsverbesserung.

Dann meldet sich die Aufsichtsbehörde beim Kunden, und die erste Frage betrifft nicht MFA. Sie lautet: Warum stehen Sie nicht im Register?

Die Antwort des Kunden, fast immer: "Ich bin davon ausgegangen, dass unser IT-Dienstleister das erledigt."

Rechtlich liegen sie falsch. Die Registrierung ist die eigene Pflicht der Einrichtung und nicht delegierbar — die Leitungsebene trägt sie nach Artikel 20. Aber rechtlich im Recht zu sein hilft nicht, wenn die Geschäftsführung eines Kunden fragt, warum niemand darauf hingewiesen hat.

Die Lösung ist prozessual, nicht technisch. Für jeden Kunden brauchen Sie drei dokumentierte Angaben: ob er im Anwendungsbereich liegt, in welchen Mitgliedstaaten, und ob die Registrierung mit Referenznummer und Datum bestätigt ist. Liegt ein Kunde außerhalb, muss diese Feststellung schriftlich begründet vorliegen — Mitarbeiterzahl, Umsatz, Sektor nach Anhang I oder II — denn "wir hielten ihn für nicht betroffen" ist keine Verteidigung ohne nachweisbare Bewertung.

Die Anwendungsbereichsprüfung ist schwieriger als sie aussieht — und fällt im Zweifel auf "drin"

Zwei Dinge ziehen mehr Einrichtungen in den Anwendungsbereich, als die meisten Berater erwarten.

Erstens ist die Größenschwelle nicht der einzige Weg hinein. Eine Einrichtung fällt normalerweise heraus, es sei denn, sie hat 50 oder mehr Mitarbeitende, oder weniger als 50 mit sowohl Jahresumsatz als auch Bilanzsumme über 10 Mio. € — aber Artikel 2(2) zieht bestimmte Einrichtungen unabhängig von der Größe hinein, darunter alleinige Anbieter eines kritischen Dienstes in einem Mitgliedstaat, bestimmte DNS- und TLD-Einrichtungen, Vertrauensdiensteanbieter und Einrichtungen der öffentlichen Verwaltung. Die deutsche Umsetzung wurde hier weit ausgelegt, was mit erklärt, warum die Schätzung des BSI bei rund 29.500 landete.

Zweitens: Konzernstrukturen. Beschäftigten- und Umsatzschwellen werden einschließlich verbundener und Partnerunternehmen nach der EU-KMU-Definition bewertet. Eine niederländische Tochter mit 30 Beschäftigten in einem Konzern mit 900 Mitarbeitern ist für NIS2 keine kleine Einrichtung. Das wird ständig falsch gelesen und ist der mit Abstand häufigste Grund, warum eine Einrichtung, die sich außerhalb wähnte, ein Schreiben erhält.

Wenn Sie diese Prüfung über einen Kundenstamm fahren, machen Sie sie einmal richtig und dokumentieren Sie sie. Eine strukturierte Gap-Analyse macht die Einstufung verteidigbar statt zur Meinungsfrage. Sie starten das in etwa zehn Minuten mit unserem kostenlosen Quick Scan und nehmen das Ergebnis in eine vollständige Bewertung mit.

Was nach Ablauf der Frist kommt, ist nicht nur ein Bußgeld

Der deutsche Rahmen erlaubt Bußgelder bis zu 10 Millionen Euro für besonders wichtige Einrichtungen, die die vorgeschriebenen Sicherheitsmaßnahmen nicht umsetzen, oder bis zu 2 % des weltweiten Umsatzes bei einem Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz (§ 65 BSIG). Allein eine versäumte Registrierung kann bis zu 500.000 Euro kosten. Die großen Zahlen machen die Schlagzeilen. Sie sind selten das, was tatsächlich weh tut.

Die unterlassene Registrierung ist eine Ordnungswidrigkeit, die eine Einrichtung auf der Liste der Aufsichtsbehörde als bekannten Nichterfüller führt. Das ändert die Haltung: Die Behörde hat nun einen Anlass hinzusehen, und wenn sie hinsieht, sieht sie auch auf Artikel 21. Ein Registrierungsversäumnis ist keine isolierte Sanktion — es ist eine Einladung zur vollständigen Prüfung von Sicherheitsmaßnahmen, die die Einrichtung wahrscheinlich noch nicht fertig umgesetzt hat.

Danach wandert es die Kette hinunter. Der Registrierungsstatus taucht zunehmend in Lieferanten-Due-Diligence-Fragebögen nach Artikel 21(2)(d) auf. Ein nicht registrierter Lieferant ist ein dokumentiertes Lieferkettenrisiko für jede wesentliche Einrichtung, die er beliefert — die kommerzielle Folge kommt also vor der regulatorischen. Vertragsverlängerungen werden schwieriger. Ausschreibungen gehen verloren.

Was jetzt zu tun ist

Für deutsche Kunden konkret, in dieser Reihenfolge.

Anwendungsbereich bestätigen. Sektor nach Anhang I oder II, Größe einschließlich Konzerneinheiten, und etwaige Artikel-2(2)-Ausnahme. Halten Sie das Ergebnis in jedem Fall schriftlich fest.

Register prüfen. Glaubt ein Kunde, registriert zu sein, verifizieren Sie die Bestätigung und sichern Sie die Referenz. Registrierungen mit unvollständigen Daten wurden zurückgewiesen, und manche Kunden haben es nie bemerkt.

Jetzt registrieren. Das BSI-Portal läuft seit dem 6. Januar 2026. Die Einreichung selbst dauert unter einer Stunde, sobald Einrichtungsdaten, Kontaktstellen und Sektoreinstufung bereitliegen. Es gibt keinen Grund, weiter unregistriert zu bleiben.

Für niederländische Kunden: Der 15. August ist Ihr Datum. Das Register geht mit dem Gesetz live. Stellen Sie die Einrichtungsdaten jetzt zusammen, denn eine Registrierung in Woche eins ist trivial, eine in Monat vier ist ein Gespräch mit der RDI.

Für alle anderen: Bauen Sie den Registerstatus dauerhaft in Ihr Kundentracking ein. Registrierung ist keine einmalige Aufgabe. Einrichtungsdaten ändern sich, Kontaktstellen ändern sich, und die meisten Mitgliedstaaten verlangen, das Register aktuell zu halten — die Pflicht kehrt also bei jeder Umstrukturierung, jedem Sitzwechsel und jedem Wechsel des Sicherheitskontakts zurück.

Die Organisationen, die in der ersten Vollzugswelle hängenbleiben, sind nicht die mit unvollkommenen Artikel-21-Maßnahmen. Nahezu niemand hat die bisher perfekt. Es sind die, die eine Behörde mit einer einzigen Datenbankabfrage identifizieren kann.

Weiterlesen: NIS2-Vollzug in Deutschland, das niederländische Cyberbeveiligingswet erklärt, und gilt NIS2 für mich.