BSI setzt letzte Frist: NIS2-Registrierung bis 31. Juli 2026

Die gesetzliche Frist zur Registrierung beim BSI endete am 6. März 2026 – und etwa 11.000 der rund 29.500 verpflichteten Unternehmen und Einrichtungen hatten sie schlicht ignoriert. Seitdem ist die Zahl der Registrierungen auf rund 18.500 gestiegen, doch das entspricht immer noch weniger als zwei Dritteln der Gesamtzahl. Das BSI hat nun in Schreiben an betroffene Branchenverbände eine letzte Nachfrist bis zum 31. Juli 2026 kommuniziert – und macht dabei unmissverständlich klar, dass dies keine weitere Verlängerung mehr geben wird.

Was auf dem Spiel steht

Die Registrierungspflicht ist keine bloße Formalität. Einrichtungen, die sich nicht registrieren, fehlen dem BSI im Krisenfall als bekannte Ansprechpartner – und sie fehlen sich selbst: Nur registrierten Einrichtungen werden BSI-Sicherheitswarnungen, Lageberichte und technische Hilfsangebote systematisch zugeleitet. Hinzu kommt die Bußgelddimension: Allein für die Verletzung der Registrierungspflicht können Bußgelder von bis zu 500.000 Euro verhängt werden – unabhängig von etwaigen Mängeln in den eigentlichen Sicherheitsmaßnahmen.

Warum die Lücke so groß ist

In Gesprächen mit Unternehmen und Branchenverbänden zeigen sich drei typische Muster:

• Betroffenheitszweifel: Viele Unternehmen haben nie geprüft, ob sie tatsächlich unter NIS2 fallen. Besonders in Querschnittssektoren wie der Digitalen Infrastruktur oder bei IKT-Dienstleistern ist die eigene Einordnung schwierig.
• Prozessunklarheiten: Das BSI-Registrierungsportal (MIRT) wurde als komplex wahrgenommen; einige Unternehmen hatten technische Einstiegsprobleme.
• Strategisches Zuwarten: Ein Teil der Unternehmen setzt offenbar darauf, dass eine nicht erfolgte Registrierung kurzfristig keine Konsequenzen hat – eine Fehlkalkulation, die teuer werden kann.

Was jetzt sofort zu tun ist

1. Betroffenheit klären: Mit dem BSI-Betroffenheitsprüfer feststellen, ob das eigene Unternehmen als wesentliche oder wichtige Einrichtung gilt.
2. Registrierung abschließen: Über das MIRT-Portal beim BSI registrieren – Frist 31. Juli 2026.
3. Kontaktstelle benennen: BSI benötigt einen definierten Ansprechpartner, der im Krisenfall rund um die Uhr erreichbar ist.
4. Compliance-Roadmap starten: Registrierung ist nur der erste Schritt – die Umsetzung der zehn Sicherheitsmaßnahmen nach Art. 21 NIS2 bleibt die eigentliche Pflichtaufgabe.

Das BSI hat signalisiert, dass nach dem 31. Juli keine weiteren individuellen Mahnungen verschickt werden. Stattdessen will die Behörde die fehlenden Registrierungen als Grundlage für aktive Aufsichtsmaßnahmen nutzen.