NIS2

NIS2-Registrierung beim BSI: wer, bis wann und wie es abläuft

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

Registrieren müssen sich beim BSI alle besonders wichtigen und wichtigen Einrichtungen sowie Domain-Name-Registry-Dienstleister, spätestens drei Monate, nachdem sie in diese Kategorie fallen (§ 33 BSIG). Für Unternehmen, die schon beim Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 betroffen waren, lief die Frist am 6. März 2026 ab. Die Registrierung erfolgt im BSI-Portal mit einem ELSTER-Organisationszertifikat aus „Mein Unternehmenskonto“. Wer sie versäumt hat, sollte sie jetzt nachholen, denn eine fehlende oder falsche Registrierung kann mit bis zu 500.000 Euro Bußgeld geahndet werden.

Dieser Beitrag gibt den Stand vom 28.10.2026 wieder und ist keine Rechtsberatung. Ob Ihre Einrichtung unter das BSIG fällt und wie eine Frist in Ihrem Fall zu berechnen ist, klärt im Zweifel Ihre Rechtsberatung.

Wer sich beim BSI registrieren muss

Die Registrierungspflicht steht in § 33 des BSI-Gesetzes in der Fassung des NIS2-Umsetzungsgesetzes. Sie trifft drei Gruppen: besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister. „Besonders wichtig“ ist dabei der deutsche Begriff für das, was die EU-Richtlinie „wesentliche Einrichtung“ nennt.

Ob Ihr Unternehmen zu einer dieser Kategorien gehört, ergibt sich aus Sektor, Einrichtungsart und Größe nach § 28 BSIG. Diese Prüfung ist der Schritt vor der Registrierung. Wir haben sie im Beitrag NIS2: wer ist betroffen und was jetzt zu tun ist beschrieben. Für eine erste Einschätzung bietet das BSI eine offizielle Betroffenheitsprüfung an. Ihr Ergebnis ist nicht rechtsverbindlich, gibt aber eine gute Orientierung.

Zwei Punkte werden in der Praxis oft übersehen. Erstens registriert das BSI jede Einrichtung einzeln. Mit dem Zertifikat einer Gesellschaft lässt sich keine andere registrieren. In einer Unternehmensgruppe braucht also jede betroffene Gesellschaft ihre eigene Registrierung, die aber eine zentrale Stelle abwickeln kann, wenn ihr die Zertifikate der einzelnen Gesellschaften vorliegen. Zweitens ist der Zugang zum BSI-Portal noch nicht die NIS-2-Registrierung. Diese starten Sie erst im Bereich NIS-2 des Portals.

Bis wann: die Registrierungsfrist

§ 33 Abs. 1 BSIG verlangt die Registrierung „spätestens drei Monate, nachdem sie erstmals oder erneut“ als besonders wichtige oder wichtige Einrichtung gelten. Die Frist hängt also nicht an einem festen Kalenderdatum, sondern am Zeitpunkt, ab dem Ihr Unternehmen betroffen ist.

• Seit Inkrafttreten betroffen. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und gilt seit dem 6. Dezember 2025, ohne Übergangsfrist. Wer an diesem Tag die Voraussetzungen erfüllte, musste sich bis zum 6. März 2026 registrieren. Das BSI stellt auf seiner NIS-2-Seite fest, dass die gesetzliche Registrierungsfrist abgelaufen ist, und fordert Betroffene auf, sich umgehend zu registrieren.
• Später betroffen. Wächst ein Unternehmen über die Schwellenwerte, nimmt es eine Tätigkeit in einem regulierten Sektor auf oder wird es neu gegründet, beginnt eine eigene Drei-Monats-Frist ab dem Zeitpunkt, ab dem es als Einrichtung gilt. Das Gesetz sagt dazu ausdrücklich „erstmals oder erneut“.
• Änderungen. Ändern sich registrierte Angaben, etwa Kontaktdaten, IP-Adressbereiche oder Sektoren, sind sie nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen ab Kenntnis nachzutragen. Für die Einrichtungsarten nach § 34 BSIG gilt für Änderungen eine Frist von höchstens drei Monaten.

Vor der Registrierung: den Zugang vorbereiten

Die Anmeldung im BSI-Portal funktioniert nur mit einem ELSTER-Organisationszertifikat, das Sie über den digitalen Dienst „Mein Unternehmenskonto“ (MUK) beantragen. Das hat das BSI in seiner Festlegung zum Registrierungsverfahren nach § 33 Abs. 6 BSIG verbindlich vorgegeben. Weil dieser Schritt Postlaufzeit hat, ist er der eigentliche Engpass.

• Voraussetzung ist eine deutsche Steuernummer, gleich welcher Steuerart. Einen Sitz in Deutschland verlangt MUK dafür nicht.
• Die Aktivierung kommt in zwei Teilen. Benutzername und Aktivierungs-ID gehen per E-Mail an die im Antrag angegebene Adresse. Der Aktivierungscode kommt per Brief an die Adresse, die zur Steuernummer hinterlegt ist. Nach Angaben des BSI dauert die Zustellung regelmäßig mindestens fünf Werktage. Danach laden Sie die Zertifikatsdatei innerhalb einer befristeten Zeit herunter.
• Es ist nicht das private ELSTER-Zertifikat. Das Organisationszertifikat gehört zum Unternehmen, nicht zu einer Person. Die Erstellung ist kostenlos.
• Ein Zertifikat pro Person. Jedem Zertifikat ist genau ein Benutzerkonto zugeordnet. Das BSI empfiehlt, jeder Person ein eigenes Zertifikat zu geben. Wer die Einrichtung als Erster im BSI-Portal registriert, wird Verwalter und kann weitere Benutzer einladen.
• Dienstleister können mit eigenen, entsprechend berechtigten Zertifikaten für Sie tätig werden, ohne sich selbst registrieren zu müssen.

Wichtig für Unternehmen mit zentraler Poststelle oder Konzernstruktur: Der Brief geht an die steuerlich hinterlegte Adresse. Legen Sie vorher fest, wer ihn dort annimmt und an die zuständige Stelle weiterleitet. Sonst wartet die Registrierung auf einen Brief, der im falschen Postfach liegt.

Der Ablauf im BSI-Portal Schritt für Schritt

Die folgenden Schritte geben die Anleitung des BSI wieder. Die Oberfläche kann sich ändern, maßgeblich ist die aktuelle Registrierungsanleitung des BSI.

1. Anmelden. Auf portal.bsi.bund.de „Mit MUK anmelden“ wählen, das Organisationszertifikat hochladen und das Passwort eingeben. Das Zertifikat brauchen Sie bei jeder Anmeldung.
2. Datenübernahme bestätigen. Die Stammdaten aus „Mein Unternehmenskonto“ werden angezeigt: Name, Anschrift, Rechtsform, Registerart, Registernummer und Registergericht. Sind sie falsch, korrigieren Sie sie in „Mein ELSTER“, nicht im BSI-Portal.
3. NIS-2-Bereich öffnen und „Zur NIS-2-Registrierung“ wählen.
4. Einordnung angeben. Ob es sich um eine Stelle des Bundes handelt, ob Sie als Betreiber einer kritischen Anlage registriert sind (dann mit der Kennung aus dieser Registrierung) und welche NIS-2-Kategorie zutrifft.
5. Sektor, Branche und Einrichtungsart aus den Auswahllisten wählen. Bei mehreren Tätigkeiten über „Weitere Einrichtungsart hinzufügen“ ergänzen.
6. EU-Staaten und Aufsichtsbehörden. Alle Mitgliedstaaten nennen, in denen Sie Dienste erbringen, und alle zuständigen Aufsichtsbehörden des Bundes und der Länder mit vollem Namen. Gemeint ist jede Aufsicht über die betreffende Tätigkeit, nicht nur die für Informationssicherheit.
7. Kontaktstelle anlegen: Organisationseinheit, Anschrift, ein oder zwei Telefonnummern im internationalen Format und ein Funktionspostfach statt einer persönlichen E-Mail-Adresse.
8. Kontaktpersonen mit Rolle oder Funktion eintragen, nach Möglichkeit mehrere. Die genannten Personen müssen Sie vorher informieren, das bestätigen Sie im Formular.
9. Öffentliche IP-Adressbereiche in CIDR-Schreibweise eintragen, IPv4 und IPv6. Haben Sie keine statischen öffentlichen Bereiche, geben Sie das an.
10. „Registrierung abschließen“, sobald alle Pflichtfelder ausgefüllt sind. Spätere Änderungen pflegen Sie im Reiter „Ihre Registrierung“.

Welche Angaben gefordert sind

Das Gesetz legt fest, was übermittelt werden muss, das Portal fragt es in der oben beschriebenen Reihenfolge ab. Am meisten Zeit kostet erfahrungsgemäß nicht das Formular, sondern das Zusammentragen. Die Tabelle zeigt, was Sie vorher klären sollten.

Für die Einrichtungsarten nach § 34 BSIG kommen die Anschrift der Hauptniederlassung in der EU und der weiteren Niederlassungen hinzu, bei Unternehmen ohne Niederlassung in der EU die Anschrift des benannten Vertreters.

Ein praktischer Hinweis zu den IP-Adressbereichen: Diese Angabe ist für viele Unternehmen die schwierigste, weil öffentliche Adressen über Provider, Cloud-Konten und Tochtergesellschaften verteilt sind. Eine saubere Übersicht der eigenen, aus dem Internet erreichbaren Systeme lohnt sich ohnehin. Sie ist die Grundlage jedes Risikomanagements und jedes Penetrationstests.

Frist verpasst: was droht und was jetzt zu tun ist

Wer die Angaben nach § 33 Abs. 1 oder § 34 Abs. 1 BSIG „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig“ übermittelt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG). Der Bußgeldrahmen dafür liegt bei bis zu 500.000 Euro (§ 65 Abs. 5 Satz 1 Nr. 5 BSIG). Ordnungswidrig ist dabei schon fahrlässiges, nicht erst vorsätzliches Handeln. Die höheren Beträge von bis zu zehn beziehungsweise sieben Millionen Euro, die oft im Zusammenhang mit NIS2 genannt werden, betreffen andere Verstöße, vor allem fehlende Risikomanagementmaßnahmen und versäumte Vorfallmeldungen.

Daneben hat das BSI zwei Befugnisse, die direkt an der Registrierung ansetzen. Es kann eine Einrichtung, die ihrer Pflicht nicht nachkommt, im Einvernehmen mit der zuständigen Aufsichtsbehörde selbst registrieren (§ 33 Abs. 3). Und es kann bei begründetem Verdacht Unterlagen und Auskünfte verlangen, die für die Bewertung nötig sind (§ 33 Abs. 4).

Für Nachzügler heißt das:

1. Betroffenheit dokumentieren. Ergebnis der Prüfung mit Datum und Begründung festhalten, auch wenn es „nicht betroffen“ lautet.
2. Zertifikat sofort beantragen. Die Postlaufzeit ist der längste Teil, alles andere lässt sich parallel vorbereiten.
3. Angaben zusammentragen nach der Tabelle oben, insbesondere IP-Adressbereiche und Aufsichtsbehörden.
4. Registrierung abschließen und die Bestätigung mit Datum ablegen.
5. Ab dann aktuell halten. Jede Änderung binnen zwei Wochen nachtragen, am besten mit einer festen Zuständigkeit.

Wie die Aufsicht mit verspäteten Registrierungen im Einzelfall umgeht, lässt sich nicht pauschal vorhersagen. Sicher ist nur: Das BSI fordert ausdrücklich dazu auf, die Registrierung umgehend nachzuholen, und eine abgeschlossene Registrierung ist die Voraussetzung, um die weiteren Pflichten überhaupt erfüllen zu können.

Nach der Registrierung: was als Nächstes kommt

Die Registrierung ist der formale Einstieg, nicht das Ziel. Mit ihr ist das BSI über Ihre Einrichtung und Ihre Ansprechpartner informiert. Die inhaltlichen Pflichten gelten unabhängig davon seit Inkrafttreten:

• Meldepflichten (§ 32 BSIG). Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Die bei der Registrierung angegebene Kontaktstelle ist der Draht, über den das BSI Sie erreicht.
• Risikomanagement (§ 30 BSIG). Geeignete technische und organisatorische Maßnahmen nach dem Stand der Technik, von Zugriffskontrolle über Backup bis zur Sicherheit der Lieferkette, und ihre Dokumentation.
• Geschäftsleitung (§ 38 BSIG). Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.

Was diese Pflichten konkret bedeuten und in welcher Reihenfolge Sie sie angehen, beschreibt unser Beitrag NIS2: wer ist betroffen und was jetzt zu tun ist. Wer als Software- oder SaaS-Hersteller zusätzlich unter den Cyber Resilience Act fällt, findet die Abgrenzung der Meldewege im Beitrag zur CRA-Meldepflicht.

Die Checkliste zur NIS2-Registrierung

Wobei CyberSec42 Sie unterstützt

Die Registrierung selbst ist überschaubar, wenn die Vorarbeit stimmt. Aufwendig wird es danach: Die Maßnahmen nach § 30 BSIG müssen wirksam sein und sich belegen lassen, und ein erheblicher Vorfall muss so schnell erkannt werden, dass die 24-Stunden-Frist realistisch ist. Dafür bieten wir zwei Einstiege an, im schriftlich vereinbarten Umfang und mit individuellem Angebot.

Wer zusätzlich ISO 27001 oder Anforderungen aus Kundenfragebögen vorbereitet, findet den Rahmen auf unserer Seite zur Compliance-Readiness.

Häufige Fragen

Weiterlesen

• NIS2: wer ist betroffen und was jetzt zu tun ist
• ISO 27001 für SaaS und Startups: was wirklich zählt
• Penetrationstest: Ablauf, Dauer und was ihn kostet
• Leistung: NIS2-Beratung bis zum Nachweis

Quellen

• BSIG § 33: Registrierungspflicht
• BSIG § 34: Besondere Registrierungspflicht für bestimmte Einrichtungsarten
• BSIG § 65: Bußgeldvorschriften
• BSIG § 32: Meldepflichten
• BGBl. 2025 I Nr. 301: Gesetz zur Umsetzung der NIS-2-Richtlinie
• BSI: NIS-2-regulierte Unternehmen
• BSI: Anleitung zur NIS-2-Registrierung im BSI-Portal
• BSI: Mein Unternehmenskonto und ELSTER-Organisationszertifikat
• BSI: Festlegung der Einzelheiten zum Registrierungsverfahren nach § 33 Abs. 6 BSIG
• BSI: NIS-2-Betroffenheitsprüfung