NIS2: BSI erinnert Unternehmen an abgelaufene Registrierungspflicht und nennt Ende Juli als neue Erwartung
Das BSI weist betroffene Unternehmen erneut auf die abgelaufene NIS2-Registrierungspflicht hin. Laut heise erwartet die Behörde die ausstehenden Registrierungen bis spätestens 31. Juli 2026.
Das Bundesamt für Sicherheit in der Informationstechnik weist Unternehmen erneut auf die NIS2-Registrierungspflicht hin. Auf der eigenen Themenseite schreibt das BSI, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist und betroffene Einrichtungen sich umgehend im BSI-Portal registrieren müssen. Laut heise erwartet die Behörde, dass noch ausstehende Registrierungen bis spätestens 31. Juli 2026 abgeschlossen werden.
Für kleine und mittlere Unternehmen ist das vor allem dann relevant, wenn sie in einen regulierten Sektor fallen oder als wichtiger Dienstleister Teil einer kritischen Lieferkette sind. NIS2 ist nicht nur ein IT-Thema. Die Richtlinie betrifft Prozesse, Geschäftsleitung, Meldewege, Risikoanalyse und Lieferkettensicherheit.
Was das BSI jetzt erwartet
Auf der NIS2-Seite des BSI steht der Hinweis deutlich: Die Frist ist abgelaufen. Unternehmen, die betroffen sind und noch nicht registriert wurden, sollen die Registrierung jetzt nachholen. Das BSI beschreibt dafür einen zweistufigen Einstieg: Zuerst wird ein ELSTER-Organisationszertifikat benötigt, danach folgt die Registrierung im BSI-Portal.
| Punkt | Einordnung | Praktische Folge |
|---|---|---|
| Registrierungsfrist | Laut BSI bereits abgelaufen | Betroffene Unternehmen sollten nicht auf eine weitere Erinnerung warten. |
| Neue Erwartung | Heise nennt den 31. Juli 2026 als vom BSI erwarteten Abschluss offener Registrierungen | Interne Verantwortliche sollten die Registrierung zeitnah priorisieren. |
| Voraussetzung | ELSTER-Organisationszertifikat | Ohne Zertifikat kann die Registrierung ins Stocken geraten. |
| Nächster Schritt | Registrierung im BSI-Portal | Betroffenheit prüfen, Stammdaten vorbereiten, Nachweise dokumentieren. |
Warum das für KMU relevant ist
NIS2 richtet sich nicht nur an klassische KRITIS-Betreiber. Je nach Branche, Unternehmensgröße, Umsatz, Lieferkettenrolle und Dienstleistung können auch mittelständische Unternehmen betroffen sein. Besonders relevant sind IT-Dienstleister, Managed-Service-Anbieter, Cloud- und Hosting-Anbieter, Unternehmen im Gesundheitswesen, Energie, Transport, Industrie, digitale Infrastruktur und weitere regulierte Bereiche.
Wer nicht sicher ist, ob das eigene Unternehmen betroffen ist, sollte die Betroffenheitsprüfung nicht nebenbei erledigen. Entscheidend ist nicht nur die eigene IT-Landschaft, sondern auch die Rolle gegenüber Kunden, Behörden, Partnern und Lieferketten.
Was Unternehmen jetzt prüfen sollten
- Betroffenheit klären: Prüfen, ob Branche, Größe, Umsatz und Dienstleistung unter NIS2 fallen.
- Verantwortlichkeiten festlegen: Geschäftsleitung, IT, Datenschutz, Informationssicherheit und externe Dienstleister einbinden.
- ELSTER-Organisationszertifikat vorbereiten: Das Zertifikat frühzeitig beantragen, falls es noch nicht vorhanden ist.
- BSI-Registrierung abschließen: Stammdaten und Kontaktwege im BSI-Portal erfassen.
- Meldewege dokumentieren: Zuständigkeiten für Sicherheitsvorfälle, Eskalation und Kommunikation festlegen.
- Risikoanalyse starten: Kritische Systeme, Abhängigkeiten, Lieferanten und Dienstleister erfassen.
- Nachweise sammeln: Entscheidungen, Verantwortlichkeiten, technische Maßnahmen und organisatorische Prozesse schriftlich dokumentieren.
Nicht nur Registrierung, sondern Governance
Die Registrierung ist nur der sichtbare Einstieg. Unternehmen müssen danach zeigen können, dass Informationssicherheit strukturiert behandelt wird. Dazu gehören Risikoanalyse, Zugriffsschutz, Backup-Strategie, Patch-Management, Incident-Response, Lieferkettenprüfung und Schulung der Mitarbeitenden.
Für die Geschäftsleitung ist wichtig: NIS2 ist kein reines IT-Projekt, das vollständig an Administratoren abgegeben werden kann. Die organisatorische Verantwortung bleibt auf Leitungsebene. Genau deshalb sollte die Registrierung mit einem kurzen Maßnahmenplan verbunden werden.
Einschätzung für Admins und Geschäftsführung
Aus technischer Sicht ist die BSI-Erinnerung ein guter Anlass, die eigenen Sicherheitsgrundlagen zu prüfen. Viele NIS2-Anforderungen sind keine exotischen Sondermaßnahmen, sondern saubere IT-Basics: aktuelle Systeme, nachvollziehbare Rechtevergabe, funktionierende Backups, MFA, Protokollierung, Lieferantenübersicht und klare Meldewege.
Der Unterschied liegt in der Verbindlichkeit. Was früher als Best Practice galt, wird für betroffene Unternehmen zur dokumentierten Pflicht. Wer jetzt nur die Registrierung erledigt, aber keine Zuständigkeiten, Nachweise und Maßnahmen hinterlegt, löst das eigentliche Problem nicht.
Passende Anleitungen auf S-EDV
- NIS2 im Mittelstand umsetzen: Registrierung, 10 Pflichten und Geschäftsführer-Haftung erklärt die Betroffenheitsprüfung, Registrierung und wichtigsten Pflichten im Detail.
- Zwei-Faktor-Authentifizierung richtig einführen hilft bei einer der wichtigsten technischen Basismaßnahmen.
- Linux-Server absichern: UFW-Firewall und Fail2ban zeigt praktische Härtungsmaßnahmen für Serverumgebungen.
