NIS2-Registrierung verpasst: Was Geschäftsführer jetzt tun müssen

Für viele Unternehmen endete die gesetzliche Frist zur NIS2-Registrierung am 6. März 2026. Der vom BSI später kommunizierte Nachholtermin zum 31. Juli änderte daran nichts: Wer bereits am 6. Dezember 2025 als wichtige oder besonders wichtige Einrichtung galt, musste sich innerhalb von drei Monaten registrieren. Wer diese Frist verpasst hat, sollte jetzt nicht auf weitere Hinweise des BSI warten.

Für Geschäftsführer sind fünf Punkte entscheidend: Betroffenheit klären, Registrierung nachholen, § 30 BSIG umsetzen, die eigene Verantwortung nach § 38 BSIG organisieren und die gesetzlichen Meldefristen absichern.

Die Registrierungsfrist ist vorbei

§ 33 BSIG verlangt die Registrierung spätestens drei Monate nach dem Zeitpunkt, zu dem ein Unternehmen erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt. Für Unternehmen, die bereits zum Inkrafttreten der neuen Regelungen am 6. Dezember 2025 erfasst waren, endete die Frist deshalb mit Ablauf des 6. März 2026. Der später vom BSI kommunizierte Termin zum 31. Juli 2026 war kein gesetzlicher Fristaufschub, sondern eine Kulanzregelung gegenüber den Verbänden.

Eine verspätete Registrierung bleibt deshalb verspätet. Sie sollte trotzdem unverzüglich nachgeholt werden: Die Nachregistrierung beseitigt den eingetretenen Fristverstoß nicht rückwirkend, sie beendet aber den Zustand der weiterhin fehlenden Registrierung. Genau dieser fortdauernde Zustand ist es, den eine Behörde als Untätigkeit wertet.

Wie groß die Registrierungslücke wirklich ist, ist offen

Im Gesetzgebungsverfahren wurde mit rund 29.500 betroffenen Einrichtungen in Deutschland gerechnet. Diese Zahl war eine Schätzung, keine Liste der tatsächlich registrierungspflichtigen Unternehmen. Zum Ende der Nachfrist am 31. Juli 2026 waren rund 19.000 Einrichtungen registriert. Das BSI lässt die Zahl der Pflichtigen derzeit vom Statistischen Bundesamt neu ermitteln.

Aus der Differenz darf nicht geschlossen werden, dass automatisch rund 10.000 Unternehmen gegen ihre Registrierungspflicht verstoßen. Für Geschäftsführer ist diese Debatte ohnehin zweitrangig. Entscheidend ist nicht, wie viele andere Unternehmen betroffen sind, sondern ob die eigene Gesellschaft unter § 28 BSIG fällt.

Das Bußgeld für die Registrierung ist nicht das größte Risiko

Eine nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erfolgte Registrierung ist ein eigener Bußgeldtatbestand mit einem Rahmen von bis zu 500.000 Euro. Deutlich höher liegen die Obergrenzen bei Verstößen gegen die Risikomanagementpflichten aus § 30 BSIG: bis zu 7 Millionen Euro bei wichtigen Einrichtungen und bis zu 10 Millionen Euro bei besonders wichtigen Einrichtungen. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz gelten abweichend umsatzbezogene Höchstgrenzen von 1,4 beziehungsweise 2 Prozent des weltweiten Gesamtumsatzes.

Für den Mittelstand ist deshalb ein Punkt wichtig: Die Registrierung ist nur eine Pflicht unter mehreren. Ein Unternehmen kann korrekt registriert sein und trotzdem bei Risikomanagement, Incident Response, Lieferkettensicherheit oder Geschäftsleitungs-Governance erhebliche Lücken haben. Und umgekehrt: Auch ein nicht registriertes Unternehmen muss erhebliche Sicherheitsvorfälle melden, denn die Meldepflicht knüpft an die Betroffenheit an, nicht an die Registrierung.

Geschäftsführer können NIS2 nicht vollständig an die IT delegieren

§ 38 BSIG macht die NIS2-Umsetzung ausdrücklich zur Aufgabe der Geschäftsleitung. Sie muss die Risikomanagementmaßnahmen nach § 30 umsetzen und deren Umsetzung überwachen, und ihre Mitglieder müssen regelmäßig an entsprechenden Schulungen teilnehmen. Das bedeutet nicht, dass Geschäftsführer jede technische Maßnahme selbst steuern. Es bedeutet, dass sie Organisation, Verantwortlichkeiten, Ressourcen und Kontrolle sicherstellen müssen.

Ein belastbarer Management-Status sollte deshalb jederzeit beantworten können: Ist das Unternehmen betroffen? Ist die Registrierung erfolgt? Welche Maßnahmen nach § 30 sind umgesetzt, wo bestehen offene Risiken, wer ist verantwortlich, welche Maßnahmen sind überfällig, und wie wird der Status an die Geschäftsleitung berichtet?

Bei einer schuldhaften Pflichtverletzung kann eine persönliche Innenhaftung für dadurch verursachte Schäden entstehen. Die Registrierungspflicht selbst gehört nicht unmittelbar zu § 38. Eine versäumte Registrierung kann aber zusätzlich unter allgemeinen gesellschaftsrechtlichen Organisations- und Sorgfaltspflichten relevant werden.

Schritt 1: Betroffenheit sauber feststellen

Vor jeder weiteren Maßnahme muss feststehen, ob die konkrete Gesellschaft tatsächlich unter das BSIG fällt. Dafür sind mindestens vier Punkte zu prüfen: Sektor, Einrichtungsart, Unternehmensgröße und Rechtseinheit.

Bei den regulären Einrichtungsarten aus Anlage 1 und Anlage 2 gilt: Eine wichtige Einrichtung kann ab mindestens 50 Beschäftigten erfasst sein, alternativ bei mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme. Bei bestimmten Einrichtungsarten aus Anlage 1 greift die Einstufung als besonders wichtige Einrichtung ab mindestens 250 Beschäftigten, alternativ bei mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme.

Diese Werte sind keine universelle NIS2-Regel. Für Betreiber kritischer Anlagen, bestimmte Telekommunikationsunternehmen, Vertrauensdienste, DNS-Dienste und weitere Einrichtungsarten gelten Sonderregelungen. Auch bei Unternehmensgruppen reicht der Blick auf eine einzelne Gesellschaft häufig nicht aus: § 28 Abs. 4 BSIG verweist auf die europäische KMU-Systematik, wodurch Partner- und verbundene Unternehmen für die Größenberechnung relevant werden können.

Die Betroffenheitsprüfung sollte dokumentiert werden, auch wenn das Ergebnis lautet: nicht betroffen. Sollte das BSI später nachfragen, ist die datierte Prüfung der Unterschied zwischen einer vertretbaren Einschätzung und Untätigkeit.

Schritt 2: Registrierung sofort nachholen

Steht die Betroffenheit fest und fehlt die Registrierung, sollte sie ohne weitere Verzögerung nachgeholt werden. Für den Zugang zum BSI-Portal wird ein Unternehmenskonto benötigt, dessen Einrichtung einige Werktage dauern kann. Die Zugangsvoraussetzungen sollten deshalb parallel zur fachlichen Vorbereitung angestoßen werden.

Für die Registrierung sind unter anderem Unternehmens- und Kontaktdaten, Informationen zur Einordnung der Einrichtung sowie weitere Angaben nach § 33 BSIG erforderlich, darunter öffentliche IP-Adressbereiche sowie Angaben zu Mitgliedstaaten und zuständigen Aufsichtsbehörden. Wichtig ist die Reihenfolge: nicht erst ein vollständiges NIS2-Projekt abschließen und danach registrieren. Registrierung und materielle Umsetzung müssen parallel laufen.

Schritt 3: Die zehn Maßnahmenbereiche nach § 30 steuern

§ 30 BSIG verlangt ein angemessenes Risikomanagement und nennt dafür zehn Maßnahmenbereiche:

1. Risikoanalyse und Sicherheitskonzepte
2. Behandlung von Sicherheitsvorfällen
3. Business Continuity, Backup und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement
6. Bewertung der Wirksamkeit der Sicherheitsmaßnahmen
7. Cyberhygiene, Schulung und Sensibilisierung
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und IKT-Verwaltung
10. Multi-Faktor-Authentifizierung sowie sichere Kommunikation

Für Geschäftsführer ist nicht die Detailtiefe jedes einzelnen Controls entscheidend, sondern ein belastbares Steuerungsmodell. Ein Management-Reporting sollte mindestens Status, Verantwortlichen, Risiko, Priorität und Zieltermin je Maßnahmenbereich zeigen. Ein Maßnahmenplan ersetzt die gesetzliche Umsetzung nicht, er macht aber sichtbar, ob die Organisation tatsächlich gesteuert wird. Und er ist das, was Auftraggeber, Versicherer und im Prüfungsfall das BSI als Erstes anfordern.

Schritt 4: Die 24-72-1-Monat-Meldekette absichern

Bei erheblichen Sicherheitsvorfällen gelten kurze Fristen. Die erste Meldung muss unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntniserlangung erfolgen. Spätestens nach 72 Stunden folgt die nächste Meldung mit einer ersten Bewertung des Vorfalls. Die Abschlussmeldung muss grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung erfolgen; läuft der Vorfall weiter, ist zunächst eine Fortschrittsmeldung erforderlich.

Diese Fristen lassen sich nicht erst im Ernstfall organisieren. Vorher muss feststehen, wer den Vorfall bewertet, wer über die Meldung entscheidet, wer mit dem BSI kommuniziert, wer innerhalb von 24 und 72 Stunden die erforderlichen Informationen liefert und wer die Geschäftsleitung informiert. Werden diese Fragen erst nach einem Angriff geklärt, ist die Organisation bereits zu spät.

Schritt 5: Geschäftsleitungs-Governance dokumentieren

NIS2 braucht einen festen Platz im Management-System. Für die meisten mittelständischen Unternehmen reicht dafür kein einmaliger Projektstatus, sondern ein regelmäßiges Reporting an die Geschäftsleitung mit Betroffenheitsstatus, Registrierungsstatus, offenen Maßnahmen nach § 30, wesentlichen Cyberrisiken, kritischen Lieferantenrisiken, relevanten Sicherheitsvorfällen und überfälligen Maßnahmen. Zusätzlich sollte festgelegt sein, wann Risiken eskaliert werden und wer Entscheidungen trifft.

Ein bestimmtes Beschlussformat schreibt § 38 nicht vor. Aus Governance- und Nachweissicht ist eine dokumentierte Befassung der Geschäftsleitung trotzdem sinnvoll, denn sie ist der erste belastbare Nachweis, dass die Verantwortung tatsächlich wahrgenommen wird.

Was Unternehmen jetzt nicht tun sollten

Nicht auf neue Schätzungen zur Gesamtzahl der NIS2-Unternehmen warten; sie ändern nichts an der eigenen Betroffenheit. Nicht auf einen weiteren Nachholtermin hoffen; ein Anspruch darauf besteht nicht, und das BSI hat seine Kulanz bereits einmal ausgereizt. Nicht davon ausgehen, dass ISO 27001 automatisch alle NIS2-Pflichten erfüllt; ein vorhandenes ISMS ist eine starke Grundlage, aber Registrierung, gesetzliche Meldepflichten und Geschäftsleitungsverantwortung bleiben eigenständige Anforderungen. Und nicht nur auf Bußgelder schauen: Für Geschäftsführer sind Betriebsunterbrechungen, Haftungsfragen, Kundenanforderungen, Lieferkettenrisiken und fehlende Nachweisfähigkeit häufig mindestens genauso relevant.

Was Geschäftsführer jetzt vorlegen können sollten

Die zentrale Management-Frage lautet nicht „Sind wir schon komplett NIS2-konform?", sondern „Können wir unseren aktuellen Stand belastbar belegen und steuern?". Dafür sollten fünf Antworten verfügbar sein:

1. Warum sind wir betroffen oder nicht betroffen?
2. Ist die Registrierung nach § 33 erfolgt?
3. Wie ist der Status der zehn Maßnahmenbereiche nach § 30?
4. Funktioniert unsere 24-72-1-Monat-Meldekette?
5. Wie überwacht die Geschäftsleitung Risiken, Maßnahmen und Fristen?

Wer diese Fragen beantworten kann, hat eine belastbare Grundlage für die weitere Umsetzung. Wer die Registrierung verpasst hat, kann die Fristüberschreitung nicht rückwirkend beseitigen. Er kann aber verhindern, dass aus einer verspäteten Registrierung ein dauerhaft ungeklärter Compliance-Status wird.