NIS2-Registrierung: Die Pflicht, die 10.000 deutsche Einrichtungen noch nicht erfüllt haben
Das BSI erwartete rund 30.000 Einrichtungen im Register nach dem NIS2-Umsetzungsgesetz. Zur gesetzlichen Frist am 6. März 2026 hatten sich etwa 11.500 registriert. Ende Mai waren es rund 18.500. Damit bleiben über 10.000 Organisationen, die rechtlich im Anwendungsbereich liegen, zur Registrierung verpflichtet sind — und es nicht getan haben.
Die Reaktion des BSI war kein Bußgeld. Es war ein zweites Datum: 31. Juli 2026. Keine neue gesetzliche Frist — die ist längst verstrichen — sondern ein öffentliches Signal, dass die Nachsicht nach Juli endet.
Wenn Sie einen MSP oder eine Beratung mit deutschen Kunden führen, ist dieses Datum elf Tage entfernt. Und die Registrierung ist die eine Pflicht, die Sie nachträglich nicht im Sprint reparieren können, denn das Register ist mit Zeitstempel versehen.
Registrierung ist eine eigene Pflicht neben Artikel 21 — und kommt zuerst
Die meisten Compliance-Gespräche beginnen bei den Sicherheitsmaßnahmen. Risikoanalyse, Incident Handling, Backups, MFA, Lieferkette. Artikel-21-Arbeit.
Die Registrierung steht völlig daneben. Sie folgt aus Artikel 3(4) NIS2, der Mitgliedstaaten zur Erstellung einer Liste wesentlicher und wichtiger Einrichtungen verpflichtet, und aus Artikel 27, der bestimmte Einrichtungen der digitalen Infrastruktur zur Übermittlung identifizierender Daten verpflichtet. Die Mitgliedstaaten setzen das über ein eigenes Einrichtungsregister um.
Der praktische Unterschied zählt: Artikel-21-Pflichten werden über die Zeit im Audit bewertet, mit Raum, Fortschritt zu zeigen. Registrierung ist binär. Sie stehen an einem bestimmten Datum im Register — oder nicht.
Deshalb schaut eine Aufsichtsbehörde zuerst dorthin. Es kostet die Behörde nichts, das Register mit einer Branchenliste aus dem Handelsregister abzugleichen. Nicht registrierte Einrichtungen sind das billigste Vollzugsziel der gesamten Richtlinie.
Jeder Mitgliedstaat betreibt sein eigenes Register, nach eigener Uhr
Es gibt kein EU-weites NIS2-Registrierungsportal. Jede Umsetzung schafft ein eigenes Register, ein eigenes Portal und eine eigene Frist — und diese Fristen verteilen sich inzwischen über einen Zeitraum von zwei Jahren.
Deutschland: Das NIS2UmsuCG trat am 6. Dezember 2025 in Kraft, das BSI-Portal öffnete am 6. Januar 2026, die gesetzliche Registrierungsfrist war der 6. März 2026, und die Vollzugsschonfrist läuft bis zum 31. Juli 2026.
Belgien: Die Registrierung beim Centre for Cybersecurity Belgium über Safeonweb@work endete am 18. März 2025. Belgien setzte früh um, belgische Einrichtungen, die erst 2026 mit NIS2 begonnen haben, sind also bereits über ein Jahr im Verzug.
Niederlande: Die Erste Kammer verabschiedete das Cyberbeveiligingswet am 7. Juli 2026. Es tritt am 15. August 2026 in Kraft, und die Registrierung über das NCSC-Einrichtungsregister wird ab diesem Datum verpflichtend. Rund 8.000 niederländische Organisationen dürften in den Anwendungsbereich fallen, beaufsichtigt von der RDI über neun Sektoren.
Italien: Die Registrierung nach Gesetzesdekret 138/2024 läuft über das ACN-Portal in einem jährlichen Zyklus, mit einem festen Zeitfenster pro Jahr statt einer einmaligen Frist.
Für einen MSP mit Kunden in vier Ländern sind das vier Portale, vier Rechtsgrundlagen, vier Sätze verpflichtender Datenfelder und vier Termine. Es gibt keine Variante, in der eine einzige Tabellenspalte "NIS2: ja/nein" ausreicht.
NIS2 Umsetzungsstatus nach Land (2025–2026)
Vollständig in Kraft
BelgienKroatienUngarnLitauenLettlandItalien6 LänderVerabschiedet — Ende 2025
DeutschlandTschechienFinnland3 LänderIn Bearbeitung — erwartet 2026
NiederlandeFrankreichSpanienPolenÖsterreichSchwedenIrland7 Länder
Der Registrierungsstatus Ihres Kunden ist Ihr Problem, bevor er seins ist
Das Muster sehen wir immer wieder. Ein MSP leistet solide technische Arbeit — Segmentierung, EDR-Rollout, Backup-Tests, MFA auf allem, was es verträgt. Zwölf Monate echte Sicherheitsverbesserung.
Dann meldet sich die Aufsichtsbehörde beim Kunden, und die erste Frage betrifft nicht MFA. Sie lautet: Warum stehen Sie nicht im Register?
Die Antwort des Kunden, fast immer: "Ich bin davon ausgegangen, dass unser IT-Dienstleister das erledigt."
Rechtlich liegen sie falsch. Die Registrierung ist die eigene Pflicht der Einrichtung und nicht delegierbar — die Leitungsebene trägt sie nach Artikel 20. Aber rechtlich im Recht zu sein hilft nicht, wenn die Geschäftsführung eines Kunden fragt, warum niemand darauf hingewiesen hat.
Die Lösung ist prozessual, nicht technisch. Für jeden Kunden brauchen Sie drei dokumentierte Angaben: ob er im Anwendungsbereich liegt, in welchen Mitgliedstaaten, und ob die Registrierung mit Referenznummer und Datum bestätigt ist. Liegt ein Kunde außerhalb, muss diese Feststellung schriftlich begründet vorliegen — Mitarbeiterzahl, Umsatz, Sektor nach Anhang I oder II — denn "wir hielten ihn für nicht betroffen" ist keine Verteidigung ohne nachweisbare Bewertung.
Gilt NIS2 für Ihre Organisation?
1Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja▼Nein▼2Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
✗NIS2 gilt nicht unmittelbar für Ihre Organisation.
Ja▼Nein▼✓NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
3Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja▼!NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
1Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja ↓Nein →2Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
Ja ↓Nein →3Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja ↓Nein →✗NIS2 gilt nicht unmittelbar für Ihre Organisation.
✓NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
!NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
GiltGilt möglicherweiseGilt nicht
Die Anwendungsbereichsprüfung ist schwieriger als sie aussieht — und fällt im Zweifel auf "drin"
Zwei Dinge ziehen mehr Einrichtungen in den Anwendungsbereich, als die meisten Berater erwarten.
Erstens ist die Größenschwelle nicht der einzige Weg hinein. Eine Einrichtung unter 50 Beschäftigten und 10 Millionen Euro Umsatz fällt normalerweise heraus — aber Artikel 2(2) zieht bestimmte Einrichtungen unabhängig von der Größe hinein, darunter alleinige Anbieter eines kritischen Dienstes in einem Mitgliedstaat, bestimmte DNS- und TLD-Einrichtungen, Vertrauensdiensteanbieter und Einrichtungen der öffentlichen Verwaltung. Die deutsche Umsetzung wurde hier weit ausgelegt, was mit erklärt, warum die erwartete Grundgesamtheit bei rund 30.000 landete.
Zweitens: Konzernstrukturen. Beschäftigten- und Umsatzschwellen werden einschließlich verbundener und Partnerunternehmen nach der EU-KMU-Definition bewertet. Eine niederländische Tochter mit 30 Beschäftigten in einem Konzern mit 900 Mitarbeitern ist für NIS2 keine kleine Einrichtung. Das wird ständig falsch gelesen und ist der mit Abstand häufigste Grund, warum eine Einrichtung, die sich außerhalb wähnte, ein Schreiben erhält.
Wenn Sie diese Prüfung über einen Kundenstamm fahren, machen Sie sie einmal richtig und dokumentieren Sie sie. Eine strukturierte Gap-Analyse macht die Einstufung verteidigbar statt zur Meinungsfrage. Sie starten das in etwa zehn Minuten mit unserem kostenlosen Quick Scan und nehmen das Ergebnis in eine vollständige Bewertung mit.
Was nach der Schonfrist kommt, ist nicht nur ein Bußgeld
Der deutsche Rahmen erlaubt Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, je nachdem, welcher Betrag höher ist. Diese Zahl macht die Schlagzeilen. Sie ist selten das, was tatsächlich weh tut.
Die unterlassene Registrierung ist eine Ordnungswidrigkeit, die eine Einrichtung auf der Liste der Aufsichtsbehörde als bekannten Nichterfüller führt. Das ändert die Haltung: Die Behörde hat nun einen Anlass hinzusehen, und wenn sie hinsieht, sieht sie auch auf Artikel 21. Ein Registrierungsversäumnis ist keine isolierte Sanktion — es ist eine Einladung zur vollständigen Prüfung von Sicherheitsmaßnahmen, die die Einrichtung wahrscheinlich noch nicht fertig umgesetzt hat.
Danach wandert es die Kette hinunter. Der Registrierungsstatus taucht zunehmend in Lieferanten-Due-Diligence-Fragebögen nach Artikel 21(2)(d) auf. Ein nicht registrierter Lieferant ist ein dokumentiertes Lieferkettenrisiko für jede wesentliche Einrichtung, die er beliefert — die kommerzielle Folge kommt also vor der regulatorischen. Vertragsverlängerungen werden schwieriger. Ausschreibungen gehen verloren.
NIS2-Sanktionseskalation — Jenseits der Geldbuße
!Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen▼Nicht-finanzielle Sanktionen1Anordnungen mit bindenden Fristen
2Verpflichtende Sicherheitsaudits auf eigene Kosten
3Öffentliche Bekanntmachung von Verstößen
4Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu▼Betriebliche und persönliche Konsequenzen1Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2Vorübergehendes Verbot von Leitungsfunktionen für Personen
3Öffentliche Benennung verantwortlicher natürlicher Personen
AuslöserNicht-finanziellBetrieblich / persönlich
Was in den nächsten elf Tagen zu tun ist
Für deutsche Kunden konkret, in dieser Reihenfolge.
Anwendungsbereich bestätigen. Sektor nach Anhang I oder II, Größe einschließlich Konzerneinheiten, und etwaige Artikel-2(2)-Ausnahme. Halten Sie das Ergebnis in jedem Fall schriftlich fest.
Register prüfen. Glaubt ein Kunde, registriert zu sein, verifizieren Sie die Bestätigung und sichern Sie die Referenz. Registrierungen mit unvollständigen Daten wurden zurückgewiesen, und manche Kunden haben es nie bemerkt.
Vor dem 31. Juli registrieren. Das BSI-Portal läuft seit Januar. Die Einreichung selbst dauert unter einer Stunde, sobald Einrichtungsdaten, Kontaktstellen und Sektoreinstufung bereitliegen. Es gibt keinen Grund, zu den 10.000 zu gehören.
Für niederländische Kunden: Der 15. August ist Ihr Datum. Das Register geht mit dem Gesetz live. Stellen Sie die Einrichtungsdaten jetzt zusammen, denn eine Registrierung in Woche eins ist trivial, eine in Monat vier ist ein Gespräch mit der RDI.
Für alle anderen: Bauen Sie den Registerstatus dauerhaft in Ihr Kundentracking ein. Registrierung ist keine einmalige Aufgabe. Einrichtungsdaten ändern sich, Kontaktstellen ändern sich, und die meisten Mitgliedstaaten verlangen, das Register aktuell zu halten — die Pflicht kehrt also bei jeder Umstrukturierung, jedem Sitzwechsel und jedem Wechsel des Sicherheitskontakts zurück.
Die Organisationen, die in der ersten Vollzugswelle hängenbleiben, sind nicht die mit unvollkommenen Artikel-21-Maßnahmen. Nahezu niemand hat die bisher perfekt. Es sind die, die eine Behörde mit einer einzigen Datenbankabfrage identifizieren kann.
Weiterlesen: NIS2-Vollzug in Deutschland, das niederländische Cyberbeveiligingswet erklärt, und gilt NIS2 für mich.