NIS-2-Registrierungsfrist versäumt: Was betroffene Unternehmen jetzt tun müssen

Für Einrichtungen, die bereits mit Inkrafttreten des neuen BSIG am 6. Dezember 2025 als wichtige oder besonders wichtige Einrichtung galten, endete die dreimonatige Registrierungsfrist nach § 33 Absatz 1 BSIG grundsätzlich am 6. März 2026. Das BSI fordert noch nicht registrierte betroffene Einrichtungen zur umgehenden Registrierung im BSI-Portal auf.

Einrichtungen, die erst später erstmals oder erneut unter die gesetzlichen Kriterien fallen, haben dagegen eine individuelle Dreimonatsfrist ab diesem Zeitpunkt. Die Formulierung „Frist verpasst“ betrifft deshalb nicht alle Unternehmen am selben Kalendertag.

Abwarten ist keine sinnvolle Option. Praktisch sollte zuerst die Betroffenheit nachvollziehbar geprüft und anschließend die Registrierung über das aktuelle BSI-Verfahren nachgeholt werden. Die weiteren gesetzlichen Pflichten bestehen parallel zur Registrierung.

Registrierungsfrist nach § 33 BSIG versäumt: Was jetzt zu tun ist

Eine nicht, nicht vollständig oder nicht rechtzeitig vorgenommene Registrierung kann als Ordnungswidrigkeit geahndet werden. Das BSI kann eine ausgebliebene Registrierung nach § 33 Absatz 3 BSIG außerdem selbst vornehmen. Dadurch entfallen weder die ursprüngliche Registrierungspflicht noch ein bereits eingetretener Fristverstoß.

Für das Nachholen empfiehlt sich folgende praktische Reihenfolge. Nicht jeder Organisationsschritt ist eine eigenständige gesetzliche Einzelpflicht:

1. Betroffenheit und Einstufung nach § 28 BSIG prüfen und die Bewertung intern dokumentieren.
2. Zuständigkeit, Vertretung und Zugang zum BSI-Portal klären.
3. ELSTER-Organisationszertifikat beschaffen oder vorhandenen Zugang prüfen.
4. Registrierung mit den gesetzlich erforderlichen Angaben durchführen.
5. Registrierungsbestätigung und übermittelte Angaben für die interne Nachweisführung ablegen.

Das BSI stellt eine digitale Betroffenheitsprüfung bereit. Ihr Ergebnis ist eine erste Einschätzung und ausdrücklich nicht rechtsverbindlich. Bei Grenzfällen, komplexen Unternehmensgruppen oder unklarer Sektorzuordnung ist eine rechtliche Prüfung sinnvoll.

In fünf Schritten zur nachgeholten Registrierung

1. Betroffenheit und Einstufung prüfen

Die Einstufung als wichtige oder besonders wichtige Einrichtung richtet sich nach § 28 BSIG sowie den Einrichtungsarten der Anlagen 1 und 2. Neben Tätigkeit und Größenmerkmalen sind besondere Tatbestände, Ausnahmen und sektorspezifische Regeln zu prüfen.

Die Einordnung erfolgt für die jeweilige Einrichtung. Bei der Berechnung von Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme sind nach § 28 Absatz 4 BSIG grundsätzlich auch die Regeln für Partner- und verbundene Unternehmen aus der Empfehlung 2003/361/EG zu berücksichtigen. Eine gesetzliche Ausnahme kann greifen, wenn die Einrichtung hinsichtlich ihrer informationstechnischen Systeme, Komponenten und Prozesse von ihren Partner- oder verbundenen Unternehmen unabhängig ist.

Eine pauschale Einstufung der gesamten Unternehmensgruppe ist daher ebenso unzureichend wie eine Prüfung, die Konzernbeziehungen vollständig ausblendet.

Für die interne Akte empfiehlt sich mindestens:

• geprüfte Rechtseinheit
• Tätigkeitsbereich und betroffener Sektor
• verwendete Größenmerkmale
• Ergebnis der BSI-Betroffenheitsprüfung
• interne oder externe rechtliche Bewertung
• Datum und verantwortliche Person

2. ELSTER-Zugang und Zuständigkeit klären

Nach dem derzeit vom BSI festgelegten Verfahren erfolgt der Zugang zum BSI-Portal mit einem ELSTER-Organisationszertifikat. Dieses wird über den digitalen Dienst „Mein Unternehmenskonto“ unter Angabe einer deutschen Steuernummer beantragt.

Die gesetzliche Registrierungspflicht selbst ergibt sich aus § 33 BSIG. Die Einzelheiten des Verfahrens legt das BSI nach § 33 Absatz 6 BSIG fest.

Vor einem neuen Antrag sollte geprüft werden:

• Existiert bereits ein Organisationszertifikat?
• Wer darf es für die Registrierung verwenden?
• Ist der Zugriff technisch und organisatorisch verfügbar?
• Sind Vertretung und sichere Aufbewahrung geregelt?

Klären Sie Zuständigkeit, Vertretung und Zugriff frühzeitig. Fehlt das Zertifikat, sollte die Beantragung unmittelbar angestoßen werden.

3. Gesetzlich verlangte Angaben übermitteln

Bei einer Registrierung nach § 33 Absatz 1 BSIG sind insbesondere folgende Angaben vollständig zu übermitteln:

• Name der Einrichtung einschließlich Rechtsform und, soweit einschlägig, Handelsregisternummer
• Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, Telefonnummern und öffentlicher IP-Adressbereiche
• relevanter Sektor und gegebenenfalls Branche nach Anlage 1 oder 2 BSIG
• Mitgliedstaaten der Europäischen Union, in denen die Einrichtung entsprechende Dienste erbringt
• zuständige Aufsichtsbehörden des Bundes und der Länder

Weitere Eingabefelder können sich aus dem aktuellen BSI-Portal und aus Sonderregeln für bestimmte Einrichtungsarten ergeben. Prüfen Sie vor dem Absenden die aktuellen Pflichtfelder und Verfahrenshinweise des BSI.

4. Registrierungsnachweis intern sichern

Für die interne Nachweisführung sollten Registrierungsbestätigung, übermittelte Angaben und gegebenenfalls die interne Freigabe nachvollziehbar abgelegt werden. § 33 BSIG schreibt hierfür keine bestimmte Ablageform vor.

Sinnvoll sind:

• Registrierungsbestätigung
• dokumentierte übermittelte Angaben
• Datum der Übermittlung
• verantwortliche Person
• verwendeter Zugang
• offene Rückfragen des BSI

Die Unterlagen sollten nicht ausschließlich in einem persönlichen Postfach liegen. Umfang und Aufbewahrung richten sich nach Risiko sowie internen und vertraglichen Anforderungen.

5. Änderungen fristgerecht nachmelden

Ändern sich registrierungspflichtige Angaben, müssen die Änderungen nach § 33 Absatz 5 BSIG grundsätzlich unverzüglich, spätestens innerhalb von zwei Wochen nach Kenntniserlangung, an das BSI übermittelt werden.

Ein dauerhaft zuständiger interner Verantwortlicher und eine Vertretung sind deshalb organisatorisch sinnvoll. Die interne Aufgabenverteilung verlagert die gesetzlichen Pflichten jedoch weder von der Einrichtung noch die Pflichten nach § 38 BSIG von deren Geschäftsleitung.

Registrierung erledigt: Diese Pflichten bestehen unabhängig davon

Die Registrierung ist nur eine der gesetzlichen Pflichten. Die konkrete interne Ausgestaltung der folgenden Aufgaben bleibt regelmäßig eine Organisationsentscheidung:

Eine Registrierungsbestätigung belegt die Registrierung. Sie beweist nicht, dass Risikomanagementmaßnahmen wirksam sind oder Vorfallprozesse funktionieren. Die materiellen Pflichten beginnen auch nicht erst nach Abschluss der Registrierung, sondern sobald ihre jeweiligen gesetzlichen Voraussetzungen erfüllt sind.

Reicht ISO 27001:2022 für NIS-2 aus?

Nein. Nach Darstellung des BSI bedeutet eine Zertifizierung nach ISO 27001:2022 weder automatisch NIS-2-Konformität noch die vollständige Erfüllung des BSIG. Sie genügt insbesondere nicht ohne Weiteres als Nachweis der Pflichten aus § 30 BSIG.

Dafür sind vor allem folgende Grenzen maßgeblich:

• Der zertifizierte Geltungsbereich des ISMS kann enger sein als der nach dem BSIG relevante Einrichtungsbetrieb.
• Risikobehandlung und Risikoakzeptanz nach ISO 27001:2022 sind nicht mit den gesetzlichen Anforderungen an geeignete, verhältnismäßige und wirksame Maßnahmen gleichzusetzen.
• Registrierung nach § 33, Vorfallmeldungen nach § 32 und die Pflichten der Geschäftsleitung nach § 38 BSIG ergeben sich nicht aus der Norm.
• Ein Zertifikat beantwortet die konkreten Prüf- und Nachweisfragen der gesetzlichen Aufsicht nur unvollständig.

ISO 27001:2022 kann dennoch eine geeignete Grundlage für die Umsetzung bilden. Eine Zertifizierung ist dafür weder gesetzlich vorgeschrieben noch Voraussetzung; das BSI schreibt keine bestimmte Norm vor. Bestehende ISMS-Strukturen müssen durch eine Gap-Analyse gegen den tatsächlich anwendbaren BSIG-Pflichtenumfang geprüft und erforderlichenfalls ergänzt werden.

Die Wissensübersicht zu ISO 27001:2022 hilft bei der Einordnung des Managementsystems. Wie Akkreditierung und aktueller Status eines Zertifikats geprüft werden, erläutert der Beitrag „IAF ist nicht mehr operativ: Was alte Combined Marks auf Zertifikaten bedeuten“.

NIS-2 im integrierten Managementsystem steuern

NIS-2 ist keine zusätzliche ISO-Norm. Die Pflichten sollten deshalb nicht künstlich einem Normkapitel zugeordnet werden. Ein integriertes System kann aber gemeinsame Steuerungsprozesse bereitstellen:

1. gesetzliche Verpflichtung erfassen,
2. betroffene Rechtseinheit und Dienste zuordnen,
3. Verantwortliche und Vertretung festlegen,
4. Risiken und Maßnahmen verknüpfen,
5. Nachweise und Versionen lenken,
6. Fristen und Wiedervorlagen überwachen,
7. Wirksamkeit prüfen und Abweichungen bearbeiten.

ISO 9001:2015 kann dort berührt sein, wo Ausfälle Kundenprozesse, Dienstleistungserbringung oder vertragliche Anforderungen betreffen. Der fachliche Schwerpunkt der Informationssicherheit bleibt bei ISO 27001:2022. Die gesetzliche NIS-2-Bewertung bleibt als eigener Bezug sichtbar.

Wie gemeinsame Prozesse über mehrere Normbereiche funktionieren, ohne fachliche Unterschiede zu verwischen, zeigt das Whitepaper zum integrierten Managementsystem für ISO 9001:2015, ISO 14001:2015 und ISO 27001:2022.

Fazit

Praktisch empfiehlt es sich, die Betroffenheit zuerst nachvollziehbar zu prüfen und anschließend eine überfällige Registrierung über das aktuelle BSI-Verfahren nachzuholen. Die weiteren gesetzlichen Pflichten beginnen jedoch nicht erst nach der Registrierung: Risikomanagementmaßnahmen nach § 30, Meldepflichten nach § 32 und Geschäftsleitungsaufgaben nach § 38 BSIG bestehen parallel, sobald die jeweiligen Voraussetzungen erfüllt sind.

ISO 27001:2022 kann dafür Strukturen bereitstellen, ersetzt aber weder die Registrierung noch die spezifischen Pflichten des BSIG. IMScollect kann die erhobenen Verpflichtungen, Verantwortlichkeiten, Maßnahmen, Dokumente und Prüfnachweise nachvollziehbar miteinander verbinden.