BSI: 20.373 NIS-2-Registrierungen – Durchsetzung gegen Nachzügler beginnt im vierten Quartal

Das BSI hat seine Statistik „NIS-2 in Zahlen“ fortgeschrieben. Zum 30. September 2026 waren im BSI-Portal 20.141 Einrichtungen nach NIS-2 registriert; zusammen mit den Registrierungen von Nebenniederlassungen ergibt das 20.373 Registrierungen. Mitte August hatte die Bundesregierung 19.058 genannt (BT-Drucksache 21/7573). Das BSI selbst rechnet mit knapp 30.000 betroffenen Einrichtungen.

Was die Zahl sagt – und was nicht

Eine exakte Lücke lässt sich daraus nicht ablesen: Die Gesamtzahl enthält Nebenniederlassungen, und die Zahl der Betroffenen ist eine Schätzung, die die Bundesregierung selbst als Hochrechnung des Statistischen Bundesamts auf Daten von 2019–2022 bezeichnet. Sicher ist nur: Auch nach der letzten Nachfrist vom 31. Juli registrieren sich weiter Unternehmen – und die Pflicht erlischt mit dem Fristablauf nicht, sie besteht fort, bis sie erfüllt ist.

Durchsetzungsinitiative ab dem vierten Quartal

Nach einem Bericht von Tagesspiegel Background hat Timo Hauschild, beim BSI zuständig für Cybersicherheit in der Wirtschaft, für das vierte Quartal 2026 eine Durchsetzungsinitiative angekündigt. Angesprochen werden zuerst Einrichtungen, bei denen die Registrierungspflicht offensichtlich ist. Am Anfang steht eine Anhörung, kein sofortiges Bußgeld – am Ende des Verfahrens kann aber eines stehen. Ab dem ersten Quartal 2027 sollen einzelne angeordnete Audits folgen.

Was das für Unternehmen bedeutet

• Noch nicht registriert? Jetzt nachholen – vor einem Anhörungsschreiben ist die Ausgangslage besser als danach. Der Zugang zum BSI-Portal läuft über „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat.
• Registriert, aber ohne Nachweise? Die Registrierung ist nur der erste Schritt. In einer Anhörung oder einem Audit geht es um die Risikomanagementmaßnahmen nach § 30 BSIG, um funktionierende Meldewege nach § 32 und um Billigung, Überwachung und Schulung durch die Geschäftsleitung nach § 38.
• Besonders wichtige Einrichtungen unterliegen einer anlasslosen Aufsicht; wichtige Einrichtungen werden in der Regel anlassbezogen geprüft.