NIS 2 in Deutschland: Die Registrierungsfrist ist abgelaufen. Jetzt beginnt die Phase der Aufsicht.

Am 31. Juli 2026 endete die letzte Schonfrist bei der Umsetzung der NIS-2-Richtlinie in Deutschland.

Dieses Datum war zu keinem Zeitpunkt eine gesetzliche Frist. Die gesetzliche Frist war der 6. März 2026 – drei Monate nach Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025. Da sich bis März nur etwa 11.500 der geschätzt 29.500 betroffenen Unternehmen registriert hatten, wandte sich das Bundesamt für Sicherheit in der Informationstechnik an die Wirtschaftsverbände und formulierte eine klare Erwartung: ausstehende Registrierungen sollten bis zum 31. Juli 2026 nachgeholt werden.

Diese Frist ist nun verstrichen. Eine Registrierung bleibt verpflichtend und ist weiterhin möglich – ab jetzt handelt es sich jedoch um eine verspätete Anmeldung bei einer Aufsichtsbehörde, die bereits in ihre aktive Phase übergegangen ist.

Wenn Ihr Unternehmen in den Anwendungsbereich fällt und noch nicht registriert ist, erläutert dieser Artikel Ihre aktuelle Situation. Falls Sie sich fristgerecht registriert haben, erfahren Sie hier, was das BSI voraussichtlich als Nächstes von Ihnen verlangen wird und warum die Registrierung nur der einfache Teil war.

Der Zeitplan auf einen Blick

Die mit Abstand wichtigste Zeile in dieser Tabelle ist die dritte. Deutschland hat die NIS-2-Richtlinie mit etwa einem Jahr Verspätung umgesetzt, und der Gesetzgeber hat dies kompensiert, indem er den betroffenen Unternehmen keinerlei Übergangsfrist einräumte. Die gemäß § 30 BSIG erforderlichen technischen und organisatorischen Maßnahmen sind seit dem 6. Dezember 2025 rechtlich bindend – nicht erst seit März und auch nicht ab einem zukünftigen Datum.

Dies führt zu einem hartnäckigen Missverständnis. Die Registrierung ist eine rein administrative Meldung. Sie ist nicht das, was das Gesetz von Ihnen verlangt. Ein Unternehmen, das sich zwar im Januar prompt registriert hat, aber keinerlei Maßnahmen umgesetzt hat, steht schlechter da als ein nicht registriertes Unternehmen mit einem ausgereiften ISMS – es hat der Aufsichtsbehörde lediglich verraten, wo sie suchen muss.

Fallen Sie tatsächlich in den Anwendungsbereich?

Nach dem geänderten BSIG hängt die Einordnung von zwei Fragen ab: In welchem Sektor sind Sie tätig und wie groß ist Ihr Unternehmen?

Besonders wichtige Einrichtungen sind in der Regel große Organisationen in den Sektoren mit hoher Kritikalität gemäß Anhang 1 – Energie, Verkehr, Bankwesen und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. „Groß“ bedeutet mindestens 250 Mitarbeiter oder ein Jahresumsatz von mehr als 50 Millionen Euro bei einer Bilanzsumme von über 43 Millionen Euro. Betreiber kritischer Anlagen (ehemalige KRITIS-Betreiber) sind unabhängig von ihrer Größe immer besonders wichtige Einrichtungen.

Wichtige Einrichtungen sind die übrigen Unternehmen im Anwendungsbereich, die die Schwellenwerte für mittlere Unternehmen erfüllen – im Wesentlichen 50 oder mehr Mitarbeiter oder ein Umsatz bzw. eine Bilanzsumme von über 10 Millionen Euro – und zwar sowohl in den Sektoren von Anhang 1 als auch von Anhang 2. Anhang 2 umfasst zusätzlich Post- und Kurierdienste, Abfallwirtschaft, Chemie, Ernährung, das verarbeitende Gewerbe (einschließlich medizinischer Geräte, Computer und Elektronik, Maschinenbau, Kraftfahrzeuge), Anbieter digitaler Dienste und Forschungseinrichtungen.

Zwei praktische Hinweise: Erstens ist die Unterscheidung zwischen besonders wichtigen und wichtigen Einrichtungen nicht nur kosmetischer Natur: Für besonders wichtige Einrichtungen gilt eine ex ante Aufsicht – das BSI kann proaktiv prüfen –, während für wichtige Einrichtungen eine ex post Aufsicht gilt, die durch Anhaltspunkte für Verstöße ausgelöst wird. Zweitens reichen die Sektorlisten deutlich weiter, als die meisten Vorstände annehmen. Das verarbeitende Gewerbe und die Lebensmittelbranche fallen in den Anwendungsbereich. Ebenso ein mittelständischer Managed Service Provider. Auch die deutsche Domain-Industrie wurde durch dieselbe Änderung erfasst.

Die Selbsteinschätzung liegt in Ihrer Verantwortung, und eine Fehleinschätzung in beide Richtungen ist kostspielig. Das BSI stellt einen Fragen-und-Antworten-Katalog sowie eine unverbindliche Folgenabschätzung zur Unterstützung bereit; niedrige Registrierungszahlen deuten darauf hin, dass Unsicherheit über den Anwendungsbereich und nicht mangelnde Bereitschaft das Haupthindernis darstellt.

Was § 30 BSIG tatsächlich fordert

§ 30 spiegelt Artikel 21 Abs. 2 der Richtlinie wider: angemessene, verhältnismäßige und wirksame technische und organisatorische Maßnahmen in zehn Bereichen.

1. Risikoanalyse und Konzepte für die Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs – Backup-Management, Notfallvorsorge und Krisenmanagement
4. Sicherheit in der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Lieferanten und Dienstleistern
5. Sicherheit bei der Entwicklung, Beschaffung und Wartung von IT-Systemen, einschließlich Schwachstellenmanagement und Offenlegung
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
7. Grundlegende Verfahren der Cyberhygiene und Schulungen zur Informationssicherheit
8. Konzepte für den Einsatz von Kryptografie und Verschlüsselung
9. Personelle Sicherheit, Zugangs- und Zugriffskontrollkonzepte sowie Asset-Management
10. Einsatz von Multi-Faktor-Authentisierung oder kontinuierlicher Authentisierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme

Die Verhältnismäßigkeit ist in § 30 Abs. 1 explizit verankert: Die Bewertung berücksichtigt die Gefährdungslage, die Größe des Unternehmens sowie die Wahrscheinlichkeit und Schwere von Vorfällen und deren gesellschaftliche und wirtschaftliche Auswirkungen. Es handelt sich um eine risikobasierte Verpflichtung, nicht um eine starre Kontrollliste – das bedeutet, Sie müssen in der Lage sein, zu begründen, warum Sie zu diesem Ergebnis gekommen sind, anstatt es lediglich zu behaupten.

Neben den Maßnahmen gibt es drei weitere Pflichten, die häufig übersehen werden:

§ 32 – Meldepflichten. Erhebliche Sicherheitsvorfälle müssen in einem dreistufigen Verfahren gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine detailliertere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Die 24-Stunden-Frist ist eher ein prozessuales als ein sicherheitstechnisches Problem. Wenn Ihr Bereitschaftstechniker am Sonntag um 03:00 Uhr morgens nicht weiß, wer entscheidet, ob ein Vorfall meldepflichtig ist, verfügen Sie über keinen regelkonformen Prozess.

§ 38 – Pflichten der Leitungsebene. Geschäftsführer müssen die Maßnahmen nach § 30 umsetzen, überwachen und regelmäßig an Schulungen teilnehmen. Diese Pflicht ist höchstpersönlich und nicht delegierbar. Verstöße führen zu einer persönlichen Haftung der Geschäftsführung.

§ 39 – Nachweispflicht für Betreiber kritischer Anlagen. Betreiber kritischer Anlagen müssen dem BSI die Umsetzung durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen – zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre. Dies schließt die Offenlegung der dabei aufgedeckten Mängel ein. Beachten Sie den Wortlaut des Gesetzes: Sicherheitsaudits, Prüfungen oder Zertifizierungen. Eine Zertifizierung ist ein anerkannter Weg.

Die Sanktionen richten sich nach der Kategorie. Bei besonders wichtigen Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 %, je nachdem, welcher Betrag höher ist. Die unterlassene Registrierung stellt eine eigenständige Ordnungswidrigkeit dar, die gemäß § 65 BSIG mit bis zu 500.000 Euro geahndet werden kann.

Wo ISO/IEC 27001 hilft – und wo die Grenzen liegen

NIS-2 schreibt keine Zertifizierung vor. Es verlangt jedoch inhaltlich ein Informationssicherheits-Managementsystem und die Verpflichtung, dieses gegenüber einer Aufsichtsbehörde auf Anfrage nachzuweisen.

Praxisbewertungen und Mapping-Analysen beziffern die Abdeckung der Maßnahmenbereiche nach § 30 durch die ISO/IEC 27001:2022 konsistent auf etwa 70–80 %, wobei acht der zehn Maßnahmen nach Artikel 21 weitgehend abgedeckt sind. Diese Zahl sollte man sich in beide Richtungen genau ansehen.

Was Ihnen ein zertifiziertes ISMS bietet:

• Eine dokumentierte Methodik zur Risikobewertung, die den inhaltlichen Kern von § 30 Abs. 1 bildet
• Eine Anwendbarkeitserklärung (Statement of Applicability), die jede Einbeziehung oder den Ausschluss von Kontrollen begründet – genau die in § 30 geforderte Verhältnismäßigkeitsprüfung, bereits schriftlich fixiert und unabhängig auditiert
• Kontrollen aus Anhang A, die direkt auf die meisten der zehn Maßnahmenbereiche verweisen
• Aufzeichnungen zu internen Audits, Managementbewertungen und kontinuierlicher Verbesserung, die die Anforderung aus § 30 Abs. 2 Nr. 6 zur Überprüfung der Wirksamkeit der eigenen Maßnahmen erfüllen
• Ein unabhängig ausgestelltes, IAF-anerkanntes Zertifikat – ein Nachweis, der Gespräche mit Aufsichtsbehörden erheblich verkürzt

Was es Ihnen nicht bietet:

• Die Registrierung. Dies ist ein eigenständiger Verwaltungsakt über das BSI-Portal unter Verwendung eines Mein-Unternehmenskonto-Logins, das durch ein ELSTER-Organisationszertifikat abgesichert ist.
• Die 24/72/720-Stunden-Meldepflicht. ISO 27001 erfordert zwar ein Incident-Management, jedoch nicht diese Fristen zu diese Behörde. Ihr Incident-Response-Plan benötigt einen NIS-2-Meldungsanhang.
• Tiefe der Lieferkette. Anhang A 5.19–5.22 fordert ein Lieferantensicherheitsmanagement. NIS 2 erwartet eine Bewertung spezifischer Schwachstellen direkter Lieferanten sowie der allgemeinen Qualität ihrer Sicherheitspraktiken. Für die meisten Unternehmen bedeutet dies, über das aktuelle Lieferantenverzeichnis hinauszugehen.
• Dokumentierte Schulung der Geschäftsführung gemäß § 38. Ein Awareness-Programm für alle Mitarbeiter ist kein Nachweis dafür, dass die Geschäftsführung geschult wurde.
• Methodische Sicherheit. Die deutsche Aufsichtspraxis orientiert sich am BSI-Standard 200-3; ISO 27005 ist das ISO-native Pendant. Beide sind kompatibel, aber die Zuordnung sollte bewusst erfolgen und nicht vorausgesetzt werden.

Dank zweier veröffentlichter Referenzen ist diese Gap-Analyse deutlich kostengünstiger als eine Neuerstellung. Der technische Implementierungsleitfaden der ENISA zur Durchführungsverordnung (EU) 2024/2690 ordnet jede Maßnahme aus Artikel 21 der ISO/IEC 27001:2022, dem NIST CSF 2.0, ETSI EN 319 401 sowie CEN/TS 18026:2024 zu und listet die Art der Nachweise auf, die ein Prüfer für jeden Punkt erwartet. Im Juni 2026 veröffentlichte die NIS-Kooperationsgruppe ihr eigenes Referenzdokument zu Sicherheitsmaßnahmen mit einer vergleichbaren Zuordnungstabelle. Beide sind rechtlich nicht bindend, werden jedoch von Behörden zitiert, wobei die ENISA explizit darauf hinweist, dass ihre Zuordnung nicht als Äquivalenzbescheinigung zu verstehen ist.

Richtig eingesetzt, verwandeln sie die Frage „Sind wir NIS-2-konform?“ in eine überschaubare Liste von Delta-Punkten im Vergleich zu den Kontrollen, die Sie bereits anwenden.

Was in den nächsten 90 Tagen zu tun ist

Falls Sie sich noch nicht registriert haben: registrieren Sie sich. Eine verspätete Registrierung heilt zwar nicht den Verstoß gegen § 33, zeigt aber aktive Schritte zur Compliance. Die Alternative ist, von der Aufsichtsbehörde identifiziert zu werden, anstatt sich selbst zu melden. Planen Sie Zeit für die Voraussetzungen wie „Mein Unternehmenskonto“ und das ELSTER-Zertifikat ein – Unternehmen unterschätzen diesen Schritt regelmäßig.

Falls Sie sich bereits registriert haben: hören Sie auf, die Registrierung als Meilenstein zu betrachten. Gehen Sie davon aus, dass der nächste Kontakt des BSI eine Aufforderung zur Nachweiserbringung ist, und arbeiten Sie von diesem Punkt aus rückwärts.

1. Halten Sie Ihre Festlegung des Anwendungsbereichs schriftlich fest. Sektor, Schwellenwerte, Einstufung als wesentlich oder wichtig sowie die Begründung. Sollte eine Aufsichtsbehörde widersprechen, benötigen Sie eine dokumentierte und datierte Analyse statt einer improvisierten Argumentation.
2. Führen Sie die Gap-Analyse gemäß § 30 auf Basis der ENISA-Zuordnung durch. Zehn Maßnahmenbereiche, aktuelle Kontrolle, Speicherort der Nachweise, Lücke, Verantwortlicher, Zieldatum. Eine Seite pro Bereich ist ausreichend.
3. Proben Sie die 24-Stunden-Meldung. Eine Tabletop-Übung, die in einem Entwurf für eine Frühwarnung mündet, mit einem benannten Entscheidungsträger. Bewahren Sie das Protokoll auf.
4. Dokumentieren Sie die Schulung der Geschäftsführung. Datum, Inhalt, Teilnehmer, auf Ebene der Geschäftsführung. § 38 ist die Vorschrift, die am wahrscheinlichsten als Erstes geprüft wird, da sie am einfachsten zu kontrollieren ist.
5. Entscheiden Sie, ob eine Zertifizierung Ihre Strategie zum Nachweis der Compliance ist. Für Betreiber kritischer Anlagen gemäß § 39 ist dies einer von drei vorgeschriebenen Wegen. Für alle anderen ist sie optional – sie ist jedoch der einzige Weg, der einen Nachweis liefert, welcher bereits von einer dritten Partei validiert wurde.

Unser Ansatz

Proks Certification ist DAkkS-akkreditiert für ISO/IEC 27001:2022 (D-ZM-21753-01-00) und wird international durch das IAF Multilateral Recognition Arrangement anerkannt. Unser Audit-Ansatz stellt das Risiko in den Vordergrund statt einer Checkliste, was hier entscheidend ist: NIS-2 fragt, ob Ihre Maßnahmen angemessen und verhältnismäßig zu Ihrem Gefährdungspotenzial sind – genau die gleiche Frage, die ein gut geführtes ISMS-Audit stellt.

Wir bieten zudem NIS-2-Readiness-Assessments als Sonderprüfung an – eine strukturierte Gap-Analyse gemäß § 30 BSIG und dem ENISA-Mapping, die als Bericht mit priorisierten Handlungsempfehlungen bereitgestellt wird. Dies ist keine akkreditierte Zertifizierung und wird von uns auch nicht als solche dargestellt; es ist eine Möglichkeit, Ihren Status zu kennen, bevor eine Aufsichtsbehörde Sie darauf hinweist.

Wenn Sie nach ISO 27001 zertifiziert sind und wissen möchten, was noch zu tun ist, oder wenn Sie in den Anwendungsbereich fallen und bei null anfangen, kontaktieren Sie uns.

Quellen

• Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2025), §§ 30, 32, 33, 38, 39, 65 — gesetze-im-internet.de
• Richtlinie (EU) 2022/2555 (NIS-2), Artikel 20, 21, 23, 34
• Durchführungsverordnung (EU) 2024/2690 der Kommission
• ENISA, Technische Umsetzungsleitlinien sowie die dazugehörige Mapping-Tabelle (ISO/IEC 27001:2022, NIST CSF 2.0, ETSI EN 319 401, CEN/TS 18026:2024)
• NIS-Kooperationsgruppe, Referenzdokument zu Sicherheitsmaßnahmen, Juni 2026
• heise online, „NIS2-Erinnerung: BSI setzt neue Frist für Registrierung bis Ende Juli“, Juni 2026
• Reed Smith, „NIS2 in Deutschland: Letzte Frist für die Registrierung“, Juni 2026
• BSI-Registrierungsportal und Fragenkatalog — bsi.bund.de

Zuletzt geprüft: 3. August 2026. Dieser Artikel beschreibt die Rechtslage in Deutschland und stellt keine Rechtsberatung dar. Die Bestimmung des Anwendungsbereichs gemäß BSIG liegt in der Verantwortung der jeweiligen Einrichtung.