Die letzte Nachfrist des BSI für die NIS2-Registrierung ist gestern, am 31. Juli 2026, ausgelaufen. Nach BSI-Angaben vom 26. Juli waren zu diesem Zeitpunkt 27.800 von rund 29.500 verpflichteten Einrichtungen (94 %) im MIRT-Portal registriert – rund 1.700 Einrichtungen fehlten noch. Ab heute gilt: keine individuellen Mahnungen mehr, keine weitere Gnadenfrist. Stattdessen läuft das formale Aufsichtsverfahren an.
Was sich ab heute konkret ändert
Die gesetzliche Registrierungsfrist war ohnehin bereits am 6. März 2026 abgelaufen; der 31. Juli war keine neue Rechtsfrist, sondern eine Ankündigung des BSI, bis zu diesem Datum auf unmittelbare Sanktionsschritte zu verzichten. Diese Kulanz endet nun. Das BSI hat den weiteren Ablauf in drei Stufen skizziert:
- Stufe 1 (August 2026): Das BSI identifiziert nicht registrierte Einrichtungen über sektorale Datenquellen – Regulierungsbehörden, Handelsregister, Lieferantenlisten – und versendet förmliche Aufsichtsschreiben.
- Stufe 2 (September–Oktober 2026): Einrichtungen, die auf das Aufsichtsschreiben nicht reagieren oder ihre Betroffenheit bestreiten, erhalten einen förmlichen Prüfauftrag, verbunden mit Zwangsgeldandrohung.
- Stufe 3 (ab November 2026): Ordnungswidrigkeitenverfahren mit einem Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen; für die reine Registrierungspflicht bleibt es bei bis zu 500.000 Euro nach § 65 BSIG.
Unterschiedliche Aufsichtstiefe je nach Einrichtungstyp
Das BSI unterscheidet bei der Kontrolle zwischen den beiden Einrichtungskategorien: Besonders wichtige Einrichtungen (etwa in Energie, Bankwesen oder digitaler Infrastruktur) unterliegen einer proaktiven Aufsicht mit Stichprobenprüfungen unabhängig von konkreten Anlässen. Wichtige Einrichtungen werden dagegen anlassbezogen geprüft – meist erst nach einem gemeldeten Vorfall, einem Hinweis oder eben einer fehlenden Registrierung.
Wo die größten Lücken liegen
Laut dem letzten BSI-Zwischenstand konzentrieren sich die verbliebenen Lücken auf drei Gruppen: kleinere Anbieter digitaler Infrastruktur wie unabhängige Rechenzentren und CDN-Betreiber (Registrierungsquote 87 %), Managed-Service-Provider im IKT-Dienstleistungsmanagement, die ihre Einordnung als wichtige Einrichtung oft noch anzweifeln (88 %), sowie kommunale Verwaltungen und Zweckverbände ohne dedizierte IT-Abteilung (83 %) – letztere Gruppe deckt sich mit den kommunalen Eigenbetrieben, die wir kürzlich in unserem Beitrag zur NIS2-Pflicht von Stadtverwaltungen beschrieben haben. Energie, Bankwesen und Trinkwasserversorgung melden dagegen nahezu vollständige Registrierungsquoten.
Was Sie jetzt noch tun sollten
Wer noch nicht registriert ist, sollte das umgehend nachholen – auch nach dem 31. Juli. Eine späte, aber selbstständige Registrierung wird vom BSI erkennbar anders bewertet als eine Registrierung erst nach einem Aufsichtsschreiben: Sie signalisiert Kooperationsbereitschaft und wird in aller Regel nicht rückwirkend sanktioniert, solange sie erfolgt, bevor die Stufe-2-Prüfung beginnt. Wichtig dabei: Die Registrierung selbst ist nur der erste Schritt. Ab Stufe 2 prüft das BSI die materiellen Pflichten – Risikomanagementmaßnahmen nach § 30 BSIG, Meldewege nach § 32 BSIG und die Dokumentationspflichten der Geschäftsleitung nach § 38 BSIG. Wer die Registrierung nachholt, ohne diese Substanz vorweisen zu können, verschiebt das eigentliche Risiko lediglich um wenige Wochen.
Handlungsschritte für die kommenden Wochen
- Registrierung im MIRT-Portal umgehend nachholen, falls noch nicht geschehen.
- Parallel eine Gap-Analyse gegen die zehn Maßnahmen aus § 30 BSIG durchführen, um für ein mögliches Aufsichtsschreiben inhaltlich vorbereitet zu sein.
- Meldewege für Sicherheitsvorfälle (24-Stunden-Frühwarnung, 72-Stunden-Meldung) testen und dokumentieren.
- Geschäftsleitung über die persönliche Haftung nach § 38 BSIG informieren und die erforderlichen Schulungsnachweise sichern.