NIS2-Registrierung: rund 19.000 von 29.500 – wie groß die Lücke wirklich ist

Mit dem Ablauf der letzten BSI-Nachfrist am 31. Juli 2026 liegt eine belastbare Bilanz der NIS2-Registrierung in Deutschland vor. Zum Stichtag waren rund 19.000 Einrichtungen beim BSI registriert. Erwartet hatte die Behörde etwa 29.500. Es fehlen damit gut 10.000 Einrichtungen – rund ein Drittel der vermuteten Grundgesamtheit.

Die Zahlen im Detail

Veröffentlichte Auswertungen nennen zum Fristende 18.845 Registrierungen, aufgeteilt in 6.490 besonders wichtige und 12.355 wichtige Einrichtungen. Andere Zählungen kommen auf 19.058. Die Größenordnung ist in beiden Fällen dieselbe, und sie liegt deutlich unter dem, was die Behörde zu Beginn des Verfahrens angenommen hatte.

Der Verlauf über das Jahr zeigt, dass die Nachfrist gewirkt hat – nur nicht ausreichend:

• 6. März 2026 (gesetzliche Frist): rund 11.500 Registrierungen
• Ende Mai 2026: rund 18.500
• 31. Juli 2026 (Ende der Kulanz): rund 19.000

Die fünf Monate Nachfrist haben also etwa 7.500 zusätzliche Registrierungen gebracht, die letzten beiden Monate davon aber nur noch wenige hundert. Die Kurve ist abgeflacht – ein Hinweis darauf, dass die verbleibende Lücke nicht durch weiteres Zuwarten schrumpft.

Ist die Lücke wirklich eine Compliance-Lücke?

Nicht zwangsläufig in voller Höhe. Das BSI hat das Statistische Bundesamt damit beauftragt, die Schätzung von 29.500 betroffenen Einrichtungen zu überprüfen. Diese Zahl stammt aus einer Hochrechnung über Sektoren, Beschäftigtenzahlen und Umsatzschwellen – und eine Hochrechnung kann die Grundgesamtheit überschätzen, etwa wenn Konzernstrukturen doppelt gezählt werden oder Einrichtungen die Schwellenwerte inzwischen nicht mehr erreichen. Ein Teil der Differenz dürfte sich auf diesem Weg auflösen.

Für die einzelne Einrichtung ändert das allerdings nichts. Die Registrierungspflicht folgt aus der eigenen Betroffenheit, nicht aus einer Statistik. Wer die Kriterien des § 28 BSIG erfüllt, ist verpflichtet – unabhängig davon, ob die Behörde ihn in ihrer Schätzung mitgezählt hat oder nicht. Umgekehrt schützt eine niedrigere Gesamtzahl niemanden, der tatsächlich in den Anwendungsbereich fällt.

Was das für das laufende Aufsichtsverfahren bedeutet

Seit dem 1. August verzichtet das BSI nicht mehr auf Sanktionsschritte. Für säumige Einrichtungen sind drei Punkte wesentlich:

• Die Registrierung selbst ist nach § 65 BSIG bußgeldbewehrt – der Rahmen liegt hier bei bis zu 500.000 Euro.
• Die materiellen Pflichten wiegen schwerer: Für Verstöße gegen die Risikomanagement- und Meldepflichten reicht der Rahmen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen.
• Die Geschäftsleitung haftet nach § 38 BSIG persönlich für die Billigung und Überwachung der Risikomanagementmaßnahmen – eine Pflicht, die sich nicht delegieren lässt.

Mit ersten Bußgeldbescheiden gegen nicht registrierte Einrichtungen ist nach derzeitiger Einschätzung gegen Ende 2026 zu rechnen. Davor liegt die Phase, in der das BSI säumige Einrichtungen über sektorale Datenquellen identifiziert und anschreibt.

Was jetzt zu tun ist

1. Registrierung nachholen, auch verspätet. Eine selbstständige, wenn auch späte Registrierung ist erkennbar etwas anderes als eine Registrierung erst nach behördlicher Aufforderung.
2. Betroffenheit dokumentieren – auch wenn sie verneint wird. Wer zu dem Ergebnis kommt, nicht in den Anwendungsbereich zu fallen, sollte diese Prüfung schriftlich festhalten. Genau diese Dokumentation ist die Antwort auf ein Aufsichtsschreiben.
3. Die Substanz hinter der Registrierung aufbauen. Die Registrierung ist ein Formular; geprüft werden die zehn Maßnahmen nach § 30 BSIG, die Meldewege nach § 32 BSIG und die Nachweise der Leitungsebene nach § 38 BSIG.
4. Meldefähigkeit testen. Die 24-Stunden-Frühwarnung ist keine Frist, die man mit einer Suche nach dem richtigen Ansprechpartner beginnen sollte.