NIS2-Registrierung nach dem 31. Juli 2026: Was die BSI-„Nachfrist“ war und was jetzt gilt

VonMichael Rewers
Abstraktes Bild: digitales Sicherheitsnetzwerk mit Zeitdruck-Symbolik zur NIS2-BSI-Registrierungsfrist

Bis Ende Juli 2026 war in vielen Fachartikeln von einer „BSI-Nachfrist bis 31. Juli“ die Rede. Eine Frist im Rechtssinne war das nie: Die gesetzliche Registrierungsfrist nach § 33 BSIG war bereits am 6. März 2026 abgelaufen [1]. Der 31. Juli geht auf ein Schreiben des BSI an Wirtschaftsverbände vom 12. Juni 2026 zurück, in dem die Behörde die Erwartung äußerte, dass alle noch nicht registrierten Einrichtungen ihre Registrierung bis dahin abschließen [6]. Inzwischen ist auch dieses Datum verstrichen — die gesetzliche Registrierungspflicht besteht unverändert fort. Für Compliance-Verantwortliche, Geschäftsführung und IT-Leitung ordnet dieser Artikel ein, was der 31. Juli rechtlich war, wie der Registrierungsstand heute aussieht und was für Einrichtungen gilt, die sich noch immer nicht registriert haben.

Was die BSI-Nachfrist wirklich bedeutete — und was nicht

§ 33 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister, sich spätestens drei Monate, nachdem sie erstmals oder erneut als eine dieser Einrichtungen gelten, beim BSI zu registrieren [1]. Da das NIS2UmsuCG am 6. Dezember 2025 in Kraft trat, lag die gesetzliche Frist für zu diesem Zeitpunkt bereits betroffene Einrichtungen am 6. März 2026. Eine vergleichbare Registrierungspflicht kannte das alte BSIG nur für einen deutlich engeren Kreis, vor allem KRITIS-Betreiber — für den Großteil der rund 29.500 Unternehmen und Institutionen, von denen der Gesetzgeber ausging [8], ist die Pflicht neu.

Auf seiner eigenen Webseite formuliert das BSI unmissverständlich: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen“ — verbunden mit der Aufforderung an noch nicht registrierte Einrichtungen, sich „jetzt umgehend im BSI-Portal“ zu registrieren [4]. Den 31. Juli hatte das BSI in seinem Schreiben vom 12. Juni 2026 so begründet: „Da die Registrierungen überfällig sind, gehen wir davon aus, dass alle bisher noch nicht registrierten Einrichtungen die Registrierung bis zum 31. Juli 2026 erfolgreich abschließen.“ [6] Beratungsgesellschaften ordnen das entsprechend ein: BDO spricht von „keine[r] formale[n] Nachfrist im rechtlichen Sinne“ [6], Kleeberg von einer „Vollzugskulanz beziehungsweise eine[r] behördliche[n] Duldung – nicht um eine Änderung der gesetzlichen Frist“ [5]. Nach dieser Darstellung wollte das BSI verspätete Registrierungen bis Ende Juli dulden und in diesem Zeitraum auf unmittelbare Maßnahmen verzichten [5]. Am rechtlichen Status änderte das nichts: Wer die März-Frist verpasst hatte, war ab dem 7. März 2026 im Verzug.

Für Compliance-Verantwortliche heißt das heute: Der 31. Juli war keine Verlängerung — und sein Ablauf hat keine neue Frist ausgelöst. Einrichtungen, die noch nicht registriert sind, sollten die Registrierung ohne weiteren Aufschub nachholen.

Kostenloses PDF

Lesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.

Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.

✓ Bitte prüfen Sie Ihr Postfach — das PDF ist unterwegs.

Die Zahlen: Registrierungsstand vor und nach dem 31. Juli

Hintergrund des BSI-Schreibens war eine erhebliche Registrierungslücke. Der Gesetzgeber war auf Basis einer Berechnung des Statistischen Bundesamtes von rund 29.500 betroffenen Unternehmen und Institutionen ausgegangen; zum Ablauf der gesetzlichen Frist im März hatten sich laut Medienberichten erst rund 11.500 registriert [8]. Bis zum 31. Juli stieg die Zahl nach einem Bericht von heise online auf 18.845 [8]. Laut der amtlichen BSI-Statistik waren zum 30. September 2026 insgesamt 20.141 Einrichtungen nach NIS-2 im BSI-Portal registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen [7]. Gemessen an der ursprünglichen Schätzung fehlen damit rechnerisch weiterhin über 9.000 Registrierungen. Das Bundesinnenministerium hat das Statistische Bundesamt laut Bericht inzwischen gebeten, die Schätzung neu zu berechnen [8] — ein Teil der Lücke könnte also auch auf eine zu hohe Ausgangsschätzung zurückgehen.

Zeitpunkt Registrierte Einrichtungen Anteil der erwarteten ~29.500
6. März 2026 (gesetzliche Frist) ca. 11.500 (Medienbericht) [8] ca. 39 %
31. Juli 2026 (Ende der BSI-Duldung) 18.845 (Medienbericht) [8] ca. 64 %
30. September 2026 (BSI-Statistik) 20.141 [7] ca. 68 %

Wie sich die verbleibende Lücke auf Sektoren und Unternehmensgrößen verteilt, weist das BSI nicht aus. Als ein Grund für die zögerliche Anmeldung wird genannt, dass viele Unternehmen — etwa bei verschachtelten Konzernstrukturen — nicht ohne Weiteres bestimmen können, ob sie überhaupt registrierungspflichtig sind; diese Schwierigkeit erkennt laut Bericht auch das BSI grundsätzlich an [8].

Sind Sie betroffen? Der Schnelltest

Drei Fragen genügen für eine erste Einschätzung:

  1. Fällt Ihr Unternehmen unter eine der in Anlage 1 oder 2 BSIG genannten Einrichtungsarten und erreicht es die Größenschwellen (in der Regel mindestens 50 Mitarbeitende oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. €; für einige Einrichtungsarten gelten Sonderregeln) [9]? Eine vollständige Sektor- und Größenprüfung liefert der Leitfaden zu den NIS2-Anforderungen.
  2. Haben Sie sich bereits im BSI-Portal registriert? Falls nicht: Die bestehende BSI-Registrierungsanleitung führt Schritt für Schritt durch den Prozess inklusive ELSTER-Zertifikat und Portalzugang.
  3. Ist Ihre Registrierung vollständig — Name einschließlich Rechtsform, Anschrift und Kontaktdaten (inklusive öffentlicher IP-Adressbereiche), Sektor, Mitgliedstaaten der Diensterbringung und zuständige Aufsichtsbehörden [1]? Auch unvollständige oder unrichtige Angaben sind nach § 65 Abs. 2 Nr. 6 BSIG bußgeldbewehrt [2]; Änderungen sind dem BSI spätestens binnen zwei Wochen mitzuteilen [1].

Wer eine dieser Fragen mit „Nein“ oder „Unsicher“ beantwortet, sollte jetzt handeln — eine weitere Schonfrist hat das BSI nicht angekündigt.

Was jetzt gilt, wenn die Registrierung noch fehlt

Mit dem 31. Juli 2026 ist die vom BSI angekündigte Duldung ausgelaufen. Die gesetzliche Pflicht bestand schon vorher und besteht unverändert fort. Eine neue Frist oder eine weitere Kulanzregelung hat das BSI nach unserem Recherchestand (10. Oktober 2026) nicht veröffentlicht; auf seiner Webseite fordert es nicht registrierte Einrichtungen weiterhin auf, sich „jetzt umgehend“ zu registrieren [4]. Anfang August hatte das BSI laut Bericht noch keine Sanktionen verhängt, beobachtete die Entwicklung nach eigenen Angaben aber „engmaschig“ [8].

Eine vorsätzlich oder fahrlässig unterlassene, unvollständige oder verspätete Registrierung nach § 33 BSIG ist nach § 65 Abs. 2 Nr. 6 in Verbindung mit Abs. 5 Satz 1 Nr. 5 BSIG eine Ordnungswidrigkeit, die mit einer Geldbuße von bis zu 500.000 € geahndet werden kann; Bußgeldbehörde ist das BSI [2]. Der Tatbestand knüpft allein an die Registrierungspflicht an — unabhängig davon, ob weitere Pflichten wie Risikomanagement oder Meldewege bereits erfüllt sind. Ob und wie ein Verstoß verfolgt wird, liegt im pflichtgemäßen Ermessen der Behörde [11].

Darüber hinaus kann das BSI die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vornehmen, wenn eine Einrichtung ihrer Pflicht nicht nachkommt (§ 33 Abs. 3 BSIG). Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Registrierungspflicht nicht erfüllt, hat sie dem BSI auf Verlangen Unterlagen vorzulegen und Auskunft zu erteilen (§ 33 Abs. 4 BSIG) [1]. Wichtig: Die übrigen Pflichten — insbesondere die Risikomanagementmaßnahmen nach § 30 und die Meldepflichten nach § 32 BSIG — knüpfen an die Einordnung als (besonders) wichtige Einrichtung an, nicht an die Registrierung.

Zusätzlich nimmt § 38 BSIG die Geschäftsleitung in die Pflicht: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen [3] — nicht eine nachgeordnete IT- oder Compliance-Funktion. Bei einer Verletzung dieser Pflichten haftet die Geschäftsleitung ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform [3]. Die Registrierung selbst nennt § 38 BSIG nicht; eine fehlende Registrierung kann aber ein Hinweis darauf sein, dass auch die zugrunde liegenden Maßnahmen noch nicht umgesetzt und dokumentiert sind.

Die vollständige Bußgeld- und Sanktionsübersicht für besonders wichtige und wichtige Einrichtungen — inklusive der Obergrenzen von bis zu 10 Mio. € beziehungsweise 7 Mio. € und, bei Unternehmen mit mehr als 500 Mio. € Gesamtumsatz, bis zu 2 % beziehungsweise 1,4 % des weltweiten Gesamtumsatzes für bestimmte Verstöße [2] — liefert die Analyse zu Bußgeldern und Sanktionen.

Zeitleiste: Von der gesetzlichen Frist bis heute

Datum Ereignis
6. Dezember 2025 NIS2UmsuCG tritt in Kraft — die Drei-Monats-Frist für die Registrierung nach § 33 BSIG beginnt
6. März 2026 Gesetzliche Drei-Monats-Frist läuft ab — ca. 11.500 Registrierungen
12. Juni 2026 BSI-Schreiben an Wirtschaftsverbände: Erwartung, dass überfällige Registrierungen bis 31. Juli abgeschlossen werden — keine gesetzliche Fristverlängerung
31. Juli 2026 Ende der angekündigten BSI-Duldung — laut Bericht 18.845 Registrierungen
Seit 1. August 2026 Nachträgliche Registrierung weiterhin möglich und geboten; Bußgeldrahmen nach § 65 BSIG bis zu 500.000 €; keine weitere Schonfrist angekündigt
30. September 2026 BSI-Statistik: 20.141 NIS-2-Registrierungen

Diese Tabelle macht sichtbar, was viele Meldungen im Sommer verkürzt haben: Der 31. Juli lag fast fünf Monate nach der eigentlichen gesetzlichen Frist — und war selbst keine Frist im Rechtssinne.

Was jetzt zu tun ist — nach Rolle

Compliance-Beauftragte und Rechtsabteilung: Registrierungsstatus im BSI-Portal sofort verifizieren; bei Unsicherheit über die Sektor-Einstufung die Anwendungsbereichsprüfung vorziehen; Nachweis der Registrierung dokumentieren (Bestätigung, Zeitstempel) für die Audit-Akte.

Geschäftsführung und Vorstand: § 38 BSIG zur Kenntnis nehmen — das Gesetz weist die Umsetzungs- und Überwachungspflicht für die Risikomanagementmaßnahmen der Geschäftsleitung selbst zu, nicht der IT-Abteilung; hinzu kommt eine Pflicht zur regelmäßigen Schulung [3]. Registrierungsstatus und Umsetzungsstand als festen Tagesordnungspunkt einplanen, bis beides geklärt ist.

IT-Leitung und nicht-technische Unternehmensinhaber: ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ rechtzeitig beantragen — der Aktivierungsbrief wird per Post versandt, die Zustellung dauert in der Regel ca. 5 Werktage [10]; Portalzugang testen, bevor die Angaben final eingereicht werden.

Wer keine dieser Rollen intern klar besetzt hat, sollte die Registrierung nicht aufschieben, bis eine Struktur existiert — die Pflicht besteht bereits seit März 2026.

Häufig gestellte Fragen

War der 31. Juli 2026 eine neue gesetzliche Frist?

Nein. Die gesetzliche Frist nach § 33 BSIG endete am 6. März 2026 [1]. Der 31. Juli geht auf ein BSI-Schreiben an Wirtschaftsverbände vom 12. Juni 2026 zurück, in dem das BSI die Erwartung äußerte, dass überfällige Registrierungen bis dahin abgeschlossen werden — keine Fristverlängerung im rechtlichen Sinne [5][6].

Drohen Bußgelder für Registrierungen, die nach dem 6. März, aber vor dem 31. Juli erfolgt sind?

Nach Berichten hatte das BSI angekündigt, verspätete Registrierungen bis Ende Juli zu dulden und in diesem Zeitraum auf unmittelbare Maßnahmen zu verzichten [5]. Eine förmliche, rechtsverbindliche Zusicherung, verspätete Registrierungen nicht zu ahnden, ist auf den BSI-Webseiten nicht veröffentlicht [4]. Rechtlich bleibt eine verspätete Registrierung ein Verstoß gegen § 33 BSIG [2]; ob er verfolgt wird, liegt im pflichtgemäßen Ermessen der Behörde [11].

Was gilt für Einrichtungen, die auch den 31. Juli verpasst haben?

Die Registrierung sollte umgehend nachgeholt werden. Die Pflicht besteht fort; eine unterlassene Registrierung kann mit einer Geldbuße von bis zu 500.000 € geahndet werden [2]. Zudem kann das BSI die Registrierung selbst vornehmen sowie Unterlagen und Auskünfte verlangen [1]. Eine neue Frist hat das BSI bislang nicht bekannt gegeben [4]. Unabhängig davon gelten die Risikomanagement- und Meldepflichten nach §§ 30 und 32 BSIG sowie die Pflichten der Geschäftsleitung nach § 38 BSIG [3].

Kann das BSI Unternehmen auch selbst registrieren?

Ja. § 33 Abs. 3 BSIG erlaubt dem BSI, die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vorzunehmen, wenn eine Einrichtung ihrer Pflicht nicht nachkommt [1]. Das ersetzt jedoch nicht die eigene Prüfung der zugrunde liegenden Risikomanagementmaßnahmen.

Galt die Duldung bis 31. Juli auch für Einrichtungen, die erst nach März 2026 neu in den Anwendungsbereich fallen?

Für sie gilt die reguläre Drei-Monats-Frist ab dem Zeitpunkt, an dem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten [1]. Das BSI-Schreiben bezog sich auf die bereits überfälligen Registrierungen, nicht auf künftige Neuzugänge [6].

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Zuständigkeit und Unternehmensart variieren. Konsultieren Sie für eine auf Ihre Situation zugeschnittene Einschätzung einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

Ihr nächster Schritt

Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?

Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.

✓ Bitte prüfen Sie Ihr Postfach — das PDF ist unterwegs.

Ähnliche Beiträge