Am 31. Juli 2026 ist die Nachfrist des BSI für die NIS2-Registrierung abgelaufen. Wer bis dahin nicht registriert war, muss nun mit einem Aufforderungsschreiben rechnen. Solche Schreiben setzen üblicherweise eine letzte Frist von 14 Tagen, bevor ein förmliches Bußgeldverfahren beginnt. Dieser Artikel ordnet ein, was das bedeutet und welcher Schritt jetzt zuerst kommt.
Vorweg das Wichtigste: Eine verspätete Registrierung ist weiterhin möglich, und sie ist weiterhin der richtige Weg. Sie zeigt der Aufsicht, dass Sie handeln. Nichts zu tun ist die einzige Variante, die sicher schlecht ausgeht.
#### Woher die Pflicht kommt
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es hat das BSI-Gesetz neu gefasst und setzt die europäische NIS2-Richtlinie in nationales Recht um. Die Registrierungspflicht steht in § 33 BSIG. Sie ist nicht Teil des älteren IT-Sicherheitsgesetzes 2.0, mit dem sie häufig verwechselt wird.
Die Erstregistrierungsfrist lief am 6. März 2026 ab. Weil zu diesem Zeitpunkt nur ein Bruchteil der betroffenen Einrichtungen registriert war, räumte das BSI eine Nachfrist bis zum 31. Juli 2026 ein. Ende Mai 2026 waren rund 18.500 Einrichtungen registriert, bei geschätzt etwa 29.500 betroffenen Unternehmen und Institutionen. Die Lücke ist also groß, und sie besteht aus Unternehmen, die sich in aller Regel nicht für unzuständig halten, sondern schlicht nichts von ihrer Pflicht wussten.
#### Wen betrifft es?
Betroffen ist, wer beide Bedingungen erfüllt:
- Größe: mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme
- Sektor: Tätigkeit in einem der Sektoren, die das BSIG auflistet, darunter Energie, Transport und Logistik, Gesundheit, Trinkwasser, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Maschinenbau und Fahrzeugbau
Für Hamburger Mittelständler sind vor allem Speditionen, Hafendienstleister, Kurierdienste, Systemhäuser, Lebensmittelhersteller und Medizintechnik relevant. Wichtig: Die Einstufung erfolgt in Selbstveranlagung. Es gibt kein Schreiben vom BSI, das Ihnen mitteilt, dass Sie betroffen sind. Wer nicht selbst prüft, erfährt es im Zweifel erst im Bußgeldverfahren.
#### Wie die Registrierung abläuft
1. Selbsteinstufung: Prüfen Sie anhand von Größe und Sektor, ob Ihr Unternehmen als besonders wichtige oder als wichtige Einrichtung gilt. Dokumentieren Sie das Ergebnis, auch wenn es negativ ausfällt. 2. Registrierung über das BSI-Portal: Erfasst werden Stammdaten, der Sektor und eine ständig erreichbare Kontaktstelle. 3. Aktuell halten: Änderungen sind nachzuführen. Die Kontaktstelle muss tatsächlich erreichbar sein, ein nicht gepflegtes Funktionspostfach ist ein eigener Mangel.
#### Der Punkt, an dem es in der Praxis klemmt
Wer mit einer 14-Tage-Frist im Briefkasten erst anfängt, stößt auf eine Hürde, die in keinem Gesetzestext steht: Die Anmeldung am BSI-Portal läuft über ein ELSTER-Organisationszertifikat und ein Konto im Melde- und Unterrichtungskanal des BSI. Beides ist kostenlos, aber beides braucht Vorlauf.
Das ELSTER-Organisationszertifikat setzt eine deutsche Steuernummer voraus und wird nicht sofort ausgestellt, sondern nach einer Prüfung, die mehrere Werktage dauern kann. Die Kontoeinrichtung beim BSI ist an eine Identitätsprüfung geknüpft und lässt sich nicht an Dritte delegieren, sie muss von einer vertretungsberechtigten Person selbst durchlaufen werden.
Rechnen Sie diese Vorlaufzeit ein. Wer am zwölften Tag der Frist mit dem ELSTER-Antrag beginnt, wird die Frist nicht halten, selbst wenn inhaltlich alles vorbereitet ist. Wer absehbar nicht rechtzeitig fertig wird, sollte das gegenüber der Aufsicht nicht aussitzen, sondern den begonnenen Vorgang belegen können.
#### Was bei Nichtregistrierung droht
Der Verstoß gegen die Registrierungspflicht ist eine eigenständige Ordnungswidrigkeit. Nach § 65 BSIG kann sie mit bis zu 500.000 Euro geahndet werden. Adressat ist die Einrichtung.
Davon zu unterscheiden sind die Bußgelder für die inhaltlichen Pflichten: Wer die Risikomanagementmaßnahmen nach § 30 BSIG nicht umsetzt oder Meldepflichten nach § 32 BSIG verletzt, riskiert als besonders wichtige Einrichtung bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen nennt § 65 BSIG 7 Millionen Euro oder 1,4 Prozent.
Entscheidend für die Praxis: Das BSI muss keinen Sicherheitsvorfall nachweisen. Die fehlende Registrierung allein genügt als Anknüpfungspunkt.
#### Die Registrierung ist nur der Anfang
Wer sich registriert, ist damit noch nicht compliant. Die Registrierung macht Sie gegenüber der Aufsicht sichtbar, die inhaltlichen Pflichten beginnen erst danach: Risikoanalyse, Notfallkonzept, Lieferkettensicherheit, Zugriffsschutz und die Meldewege für den Ernstfall. Hinzu kommt § 38 BSIG: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen. Diese Pflicht lässt sich nicht an die IT-Abteilung abgeben.
#### Fazit
Der 31. Juli 2026 war kein Stichtag, nach dem nichts mehr geht. Er markiert das Ende der Nachsicht. Für Unternehmen, die jetzt Post vom BSI bekommen, zählt vor allem eines: nachweisen können, dass sie handeln. Und dafür ist die erste Frage nicht, welche Sicherheitsmaßnahmen fehlen, sondern ob Sie überhaupt betroffen sind und wie Sie das dokumentieren.
Wer die Selbsteinstufung sauber macht und sie schriftlich festhält, hat auch dann etwas in der Hand, wenn er zu dem Ergebnis kommt, nicht betroffen zu sein. Diese Dokumentation ist der Nachweis, den die Aufsicht sehen will.