Bundesregierung sieht keine Registrierungslücke – die 29.850 waren eine Schätzung auf Daten von 2019

Die Zahl, an der sich die deutsche NIS2-Debatte den ganzen Sommer aufgehängt hat, hält der Prüfung nicht stand. Am 11. August 2026 hat die Bundesregierung erklärt, sie sehe keine Registrierungslücke bei der Umsetzung der NIS2-Richtlinie. Die im Gesetzentwurf genannten 29.850 registrierungspflichtigen Einrichtungen seien lediglich eine Schätzung des Statistischen Bundesamtes – und zwar eine, die auf Daten aus den Jahren 2019 bis 2022 beruht. Zum 1. Juli 2026 waren nach dieser Auskunft 19.058 Unternehmen und Einrichtungen beim BSI als NIS2-pflichtig registriert.

Was damit von der "Lücke" übrig bleibt

Im Juli und August war die Rechnung überall dieselbe: rund 19.000 Registrierungen gegen rund 29.500 erwartete Einrichtungen, also gut 10.000 Fehlende, also ein Drittel der Grundgesamtheit im Verzug. Diese Rechnung hat einen Zähler, der gemessen ist, und einen Nenner, der geschätzt ist – und der Nenner stammt aus einer Hochrechnung über Sektoren, Beschäftigtenzahlen und Umsatzschwellen auf Basis von Unternehmensdaten, die inzwischen vier bis sieben Jahre alt sind.

An dieser Stelle hatten wir in unserer Bilanz zum Fristende darauf hingewiesen, dass das BSI die Schätzung überprüfen lässt und ein Teil der Differenz sich auf diesem Weg auflösen dürfte. Genau das ist jetzt die Position der Bundesregierung – nur deutlicher: nicht ein Teil der Lücke, sondern die Lücke als solche wird bestritten.

Die Zahlen, nebeneinander gelegt

• 29.850 – die Schätzung aus dem Gesetzentwurf, Destatis, Datenbasis 2019–2022
• 19.058 – registrierte Einrichtungen zum 1. Juli 2026, Angabe der Bundesregierung
• 18.845 – die zum Ende der Nachfrist am 31. Juli kursierende Auswertung, aufgeteilt in 6.490 besonders wichtige und 12.355 wichtige Einrichtungen

Dass die Julizahl über der Julizahl vom Monatsende liegt, ist kein Widerspruch, den man auflösen muss: Es sind unterschiedliche Zählweisen und unterschiedliche Stichtage derselben Größenordnung. Der belastbare Befund ist nicht die dritte Nachkommastelle, sondern dass rund 19.000 Einrichtungen registriert sind und niemand mehr seriös sagen kann, wie viele es sein müssten.

Was das für Ihre Einrichtung ändert – nämlich nichts

Hier liegt die Fehllesart, vor der zu warnen der eigentliche Zweck dieses Beitrags ist. "Es gibt keine Lücke" heißt nicht "ich war vermutlich nie betroffen". Die beiden Sätze haben nichts miteinander zu tun.

Die Registrierungspflicht folgt aus § 28 BSIG und den eigenen Tatsachen – Sektor, Größe, Tätigkeit – und nicht aus einer Statistik. Ob das Statistische Bundesamt eine Einrichtung 2021 in einer Hochrechnung mitgezählt hat, ist für ihre Pflichtenlage vollständig irrelevant. Eine korrigierte Gesamtzahl schützt niemanden, der die Kriterien erfüllt, und sie belastet niemanden, der sie nicht erfüllt.

Die Aufsicht läuft unverändert weiter

Parallel zu dieser Korrektur an der Statistik hat das BSI angekündigt, ab August 2026 mit systematischen, sektorweisen Prüfungen zu beginnen. Priorität haben Energie, Gesundheit und digitale Infrastruktur. Dabei gilt die Unterscheidung, die das BSIG vorgibt:

• Besonders wichtige Einrichtungen können unangekündigt geprüft werden – proaktiv, ohne konkreten Anlass.
• Wichtige Einrichtungen werden anlassbezogen geprüft, also bei konkretem Verdacht, nach einem gemeldeten Vorfall oder auf einen Hinweis hin.

Wer also aus der Meldung "keine Registrierungslücke" schließt, die Aufsicht sei entspannter geworden, verwechselt zwei verschiedene Dinge. Die Statistik ist korrigiert worden; der Prüfkalender nicht.

Was jetzt zu tun ist

1. Die eigene Betroffenheitsprüfung dokumentieren – gerade dann, wenn sie negativ ausfällt. Ein schriftlich festgehaltenes Prüfergebnis ist die Antwort auf ein Aufsichtsschreiben; "wir standen wohl nicht in der Statistik" ist keine.
2. Registrierung nachholen, falls noch offen. An der Rechtslage hat sich nichts geändert, und die gesetzliche Frist ist seit dem 6. März 2026 abgelaufen.
3. Für die drei Prioritätssektoren: mit einer Prüfung rechnen, die nicht angekündigt wird. Energie, Gesundheit und digitale Infrastruktur stehen zuerst auf der Liste, und besonders wichtige Einrichtungen dort brauchen ihre Nachweise nach § 30 BSIG abrufbar, nicht erstellbar.