Seit dem 6. März 2026 ist die Registrierungsfrist für besonders wichtige Einrichtungen beim BSI abgelaufen. Deutschland ist damit in die aktive Durchsetzungsphase des NIS2-Gesetzes eingetreten.
Was das konkret bedeutet
Besonders wichtige Einrichtungen (mind. 250 Mitarbeiter oder 50 Mio. € Umsatz in Anhang-I-Sektoren), die sich noch nicht registriert haben, sind ab sofort säumig. Das BSI hat angekündigt, zunächst Erinnerungsschreiben zu versenden, bevor förmliche Maßnahmen eingeleitet werden – Bußgelder bis zu 10 Mio. € sind möglich.
Wichtige Einrichtungen (50–249 Mitarbeiter oder 10–50 Mio. € Umsatz) haben keine feste Frist, müssen sich aber unverzüglich registrieren.
Nächste Pflichten im Überblick
- Risikomanagement dokumentieren: Maßnahmen nach § 30 BSIG (Zugangskontrollen, Verschlüsselung, Backups, Incident-Response-Plan)
- Meldeverfahren einrichten: Prozesse für 24h-Frühwarnung und 72h-Bericht bei erheblichen Sicherheitsvorfällen
- Lieferkette überprüfen: Cybersicherheitsanforderungen an wesentliche Zulieferer dokumentieren
- Führungskräfte schulen: Nachweis über abgeschlossene Cybersicherheitsschulung der Geschäftsleitung