NIS2 ist in Kraft. Wer sich bis zum 6. März beim BSI registrieren muss

Am 6. Dezember 2025 ist das deutsche Gesetz zur Umsetzung der europäischen NIS2-Richtlinie in Kraft getreten. Das BSI hat das am Vortag angekündigt. Damit gelten für deutlich mehr Unternehmen als bisher Pflichten zur Informationssicherheit. Die erste davon hat eine nahe Frist: Betroffene Einrichtungen müssen sich innerhalb von drei Monaten beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Für alle, die seit Inkrafttreten betroffen sind, endet diese Frist am 6. März 2026.

Dieser Beitrag hilft Ihnen bei der ersten Einordnung. Er ist keine Rechtsberatung. Bei Zweifeln an der Betroffenheit sollten Sie fachkundigen Rat einholen.

Wer betroffen ist

Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Dingen ab: dem Sektor und der Größe.

Der Sektor

Das Gesetz nennt eine lange Liste von Sektoren. Dazu gehören klassische kritische Bereiche wie Energie, Verkehr, Gesundheit, Wasser und Finanzwesen, aber auch viele Branchen, die bisher kaum mit IT-Sicherheitsgesetzen zu tun hatten. Für Leser dieses Blogs sind vor allem diese Bereiche interessant:

• Digitale Infrastruktur, etwa Rechenzentren, Cloud-Anbieter und Anbieter von Content-Delivery-Netzwerken
• Verwaltung von IT-Diensten für andere Unternehmen, also verwaltete IT-Dienste und verwaltete Sicherheitsdienste
• Digitale Anbieter wie Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke
• Produktion bestimmter Güter, zum Beispiel Maschinen, Fahrzeuge, elektronische Geräte und Medizinprodukte
• Post- und Kurierdienste, Lebensmittel, Chemie und Abfallwirtschaft

Die vollständigen Listen stehen in den Anlagen des BSI-Gesetzes. Ein Blick hinein lohnt sich, weil manche Zuordnungen überraschen.

Die Größe

In den genannten Sektoren gilt ein Unternehmen in der Regel als betroffen, wenn es mindestens 50 Beschäftigte hat oder sowohl einen Jahresumsatz als auch eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Ab 250 Beschäftigten oder entsprechend höheren Finanzwerten spricht das Gesetz von besonders wichtigen Einrichtungen mit strengeren Aufsichtsregeln.

Für einige Anbieter gilt die Größenschwelle nicht. Dazu gehören bestimmte Dienste der digitalen Infrastruktur, etwa DNS-Diensteanbieter und Registrierungsstellen für Top-Level-Domains.

Die Betroffenheit prüfen

Das BSI stellt eine Online-Betroffenheitsprüfung bereit. Sie führt mit Fragen zu Sektor, Tätigkeit und Größe zu einer Einschätzung. Wichtig zu wissen: Das Ergebnis ist laut BSI nicht rechtlich bindend. Das BSI teilt Unternehmen auch nicht von sich aus mit, ob sie betroffen sind. Die Verantwortung für die Einschätzung liegt bei Ihnen.

Dokumentieren Sie Ihre Prüfung schriftlich, auch wenn das Ergebnis lautet, dass Sie nicht betroffen sind. Halten Sie fest, welche Tätigkeiten, Beschäftigtenzahlen und Finanzwerte Sie zugrunde gelegt haben.

So läuft die Registrierung

Die Registrierung erfolgt in zwei Schritten, die das BSI in einer Schritt-für-Schritt-Anleitung beschreibt:

1. „Mein Unternehmenskonto“ einrichten. Das ist ein digitaler Dienst der Verwaltung, der ein Organisationszertifikat auf Basis von ELSTER nutzt. Dafür braucht es eine deutsche Steuernummer. Wenn Ihr Unternehmen schon ein ELSTER-Organisationszertifikat hat, geht es schneller.
2. Im BSI-Portal registrieren. Mit diesem Konto melden Sie sich im neuen Portal des BSI an, das seit Anfang Januar 2026 zur Verfügung steht. Viele Stammdaten werden aus dem Unternehmenskonto übernommen, ergänzt werden unter anderem Sektor, Kontaktstellen und IP-Adressbereiche.

Planen Sie dafür nicht den letzten Tag ein. Das Organisationszertifikat kommt per Post, und die Freischaltung kann einige Tage dauern.

Wenn die Zeit knapp wird

Wer erst jetzt merkt, dass er betroffen sein könnte, sollte keine Zeit verlieren. Eine sinnvolle Reihenfolge für die nächsten Tage:

1. Betroffenheit grob prüfen. Die Online-Prüfung des BSI dauert nicht lange und gibt eine erste Richtung.
2. Organisationszertifikat beantragen. Dieser Schritt hat die längste Wartezeit, weil Post verschickt wird. Er sollte deshalb parallel zur weiteren Klärung laufen.
3. Zuständigkeit festlegen. Bestimmen Sie eine verantwortliche Person und eine Vertretung, die als Kontaktstelle für das BSI erreichbar sind.
4. Daten zusammenstellen. Gebraucht werden Sektor und Tätigkeit, Beschäftigtenzahl, Umsatz und Bilanzsumme, Standorte sowie die öffentlichen IP-Adressbereiche und Domains Ihres Unternehmens. Die IP-Bereiche kennt in der Regel Ihr IT-Dienstleister oder Ihr Internetanbieter.
5. Registrieren und dokumentieren. Bewahren Sie die Bestätigung und Ihre Prüfungsunterlagen auf.

Ist die Einschätzung unsicher, holen Sie sich parallel fachlichen Rat. Eine Registrierung, die sich später als nicht nötig herausstellt, ist in der Regel das kleinere Problem.

Was nach der Registrierung kommt

Die Registrierung ist nur der Anfang. Betroffene Einrichtungen müssen unter anderem:

• Risikomanagement betreiben, also angemessene technische und organisatorische Maßnahmen zur Informationssicherheit umsetzen
• erhebliche Sicherheitsvorfälle melden, mit einer ersten Meldung innerhalb von 24 Stunden
• die Geschäftsleitung einbinden, die die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen muss
• die Lieferkette berücksichtigen, also auch die Sicherheit von Dienstleistern im Blick haben

Eine gute Übersicht über die Pflichten bietet das BSI auf seiner Seite zu den NIS-2-Pflichten.

Auch Nicht-Betroffene merken etwas

Selbst wenn Ihr Unternehmen nicht unter NIS2 fällt, kann es mittelbar betroffen sein. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Wer IT-Dienste, Software oder Websites für solche Kunden betreibt, bekommt deshalb zunehmend Fragen: Wie werden Updates eingespielt? Gibt es Zwei-Faktor-Anmeldung? Wie schnell melden Sie einen Vorfall? Wer hier klare Antworten hat, ist im Vorteil.

Was Ihre Website damit zu tun hat

Websites, Shops und Kundenportale sind oft die sichtbarste Angriffsfläche eines Unternehmens. Veraltete Erweiterungen, schwache Passwörter und fehlende Sicherungen gehören zu den typischen Einfallstoren. Wie Sie Sicherungen unabhängig vom Server aufbauen, beschreibt unser Beitrag zur 3-2-1-Regel für Website-Backups. Für NIS2-Betroffene gehören diese Systeme deshalb selbstverständlich ins Risikomanagement.

Wir unterstützen Sie bei der technischen Seite: regelmäßige Updates, Zugriffsschutz, Sicherungen, Überwachung und eine nachvollziehbare Dokumentation. Mehr dazu unter Hosting, Wartung und Sicherheit. Für Kundenportale und Schnittstellen ist unsere Individualsoftware der richtige Einstieg. Die rechtliche Einordnung Ihres Unternehmens gehört in die Hände von Fachleuten für IT-Recht.