NIS2-Registrierung: Die BSI-Nachfrist bis 31. Juli 2026 läuft — warum Sie schon jetzt im Verzug sein könnten

Dutzende Fachartikel feiern die BSI-Nachfrist bis zum 31. Juli 2026 als zweite Chance. Das ist nur die halbe Wahrheit. Die gesetzliche Registrierungsfrist nach § 33 BSIG war bereits am 6. März 2026 abgelaufen [1] — wer bis dahin nicht registriert war, befindet sich seither formal im Verzug. Nach übereinstimmender Einschätzung von Rechtsberatern ändert die Nachfrist daran rechtlich nichts: Sie gilt als Vollzugsentscheidung des BSI, nicht als neue gesetzliche Frist [5]. Für Compliance-Verantwortliche, Geschäftsführung und IT-Leitung bedeutet das: Die Uhr läuft schneller, als die meisten Schlagzeilen suggerieren. Dieser Artikel ordnet ein, was die Nachfrist rechtlich bedeutet, wer jetzt handeln muss und mit welchen Konsequenzen Unternehmen rechnen, die auch den 31. Juli verstreichen lassen.

Was die BSI-Nachfrist wirklich bedeutet — und was nicht

§ 33 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter, sich spätestens drei Monate, nachdem die Registrierungspflicht erstmals eintritt, beim BSI zu registrieren [1]. Da das NIS2UmsuCG am 6. Dezember 2025 in Kraft trat, lag die gesetzliche Frist für zu diesem Zeitpunkt bereits betroffene Unternehmen am 6. März 2026. Eine vergleichbare Registrierungspflicht kannte das alte BSIG nur für einen engen Kreis von KRITIS-Betreibern — für die meisten der rund 29.500 jetzt erfassten Unternehmen ist die Pflicht komplett neu.

Auf seiner eigenen Webseite formuliert das BSI das unmissverständlich: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen“ [4]. Rechtsberater wie Kleeberg ordnen die vielzitierte Nachfrist bis 31. Juli 2026 deshalb präzise ein: Es handelt sich „juristisch […] um eine Vollzugskulanz beziehungsweise eine behördliche Duldung — nicht um eine Änderung der gesetzlichen Frist“ [5]. Das BSI verfolgt verspätete Registrierungen bis zu diesem Datum nicht mit einem Bußgeldverfahren, ändert aber nichts am rechtlichen Status: Wer die März-Frist verpasst hat, war und bleibt im Verzug, mit den zivilrechtlichen Implikationen, die daraus für Geschäftsleitungen entstehen können.

Für Compliance-Verantwortliche heißt das konkret: Der 31. Juli ist keine Verlängerung, sondern die letzte Gelegenheit, den bestehenden Verzug ohne Bußgeldverfahren zu heilen.

Warum das BSI Kulanz zeigt: die Zahlen hinter der Entscheidung

Der Grund für die Nachfrist ist eine erhebliche Registrierungslücke. Von rund 29.500 erwarteten Unternehmen hatten sich laut übereinstimmenden Fachberichten zum 6. März 2026 nur etwa 11.500 registriert — zum Ende Mai 2026 waren es rund 18.500 [5][6]. Damit fehlten selbst mehr als vier Monate nach der gesetzlichen Frist noch über 10.000 Registrierungen.

Diese Lücke betrifft überproportional kleinere und mittlere Unternehmen, die NIS2 erst über die BSIG-Ausweitung neu erfasst hat — viele davon haben weder eine dedizierte Compliance-Funktion noch dokumentierte Risikomanagementmaßnahmen nach § 30 BSIG, aus denen sich die Registrierungsangaben überhaupt ableiten ließen.

Sind Sie betroffen? Der Schnelltest

Drei Fragen genügen für eine erste Einschätzung:

1. Fällt Ihr Unternehmen unter die NIS2-Sektoren (Anhang I oder II) und erreicht die Größenschwellen (in der Regel ≥ 50 Mitarbeitende oder > 10 Mio. € Jahresumsatz)? Eine vollständige Sektor- und Größenprüfung liefert der Leitfaden zu den NIS2-Anforderungen.
2. Haben Sie sich bereits im BSI-Portal registriert? Falls nicht: Die bestehende BSI-Registrierungsanleitung führt Schritt für Schritt durch den Prozess inklusive ELSTER-Zertifikat und Portalzugang.
3. Ist Ihre Registrierung vollständig — Name und Rechtsform, Adresse, Sektor, betroffene Mitgliedstaaten und zuständige Aufsichtsbehörde [1]? Unvollständige Angaben gelten rechtlich wie eine unterlassene Registrierung.

Wer eine dieser Fragen mit „Nein“ oder „Unsicher“ beantwortet, sollte vor dem 31. Juli handeln — nicht erst danach.

Was passiert, wenn Sie auch die Nachfrist verstreichen lassen

Nach dem 31. Juli 2026 endet die Kulanz — nicht die gesetzliche Pflicht, die längst besteht, sondern die Bereitschaft des BSI, verspätete Registrierungen ohne Verfahren zu tolerieren. Ab diesem Zeitpunkt drohen konkrete Konsequenzen.

Eine unterlassene oder unvollständige Registrierung nach § 33 BSIG ist über § 65 Abs. 5 Satz 1 Nr. 5 in Verbindung mit Abs. 2 Nr. 6 BSIG mit einem Bußgeld bis zu 500.000 € bewehrt [2]. Das gilt unabhängig davon, ob weitere Pflichten wie Risikomanagement oder Meldewege bereits erfüllt sind — die Registrierungslücke allein reicht als Bußgeldgrundlage.

Zusätzlich trifft § 38 BSIG die Geschäftsleitung persönlich: Das Gesetz weist ihr selbst die Pflicht zu, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und deren Umsetzung zu überwachen [3] — nicht einer nachgeordneten IT- oder Compliance-Funktion. Bei einer schuldhaften Pflichtverletzung haftet die Geschäftsleitung ihrer eigenen Einrichtung gegenüber nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform [3]. Eine fehlende Registrierung ist dabei häufig ein erstes Indiz dafür, dass auch die zugrunde liegenden Maßnahmen nicht dokumentiert sind — genau das Muster, das Aufsichtsbehörden bei Prüfungen zuerst abfragen.

Die vollständige Bußgeld- und Sanktionsübersicht für besonders wichtige und wichtige Einrichtungen — inklusive der Obergrenzen von bis zu 10 Mio. € beziehungsweise 2 % des weltweiten Jahresumsatzes — liefert die Analyse zu Bußgeldern und Sanktionen.

Zeitleiste: Von der gesetzlichen Frist zur Nachfrist

Diese Tabelle macht sichtbar, was viele Meldungen verkürzen: Zwischen der eigentlichen gesetzlichen Pflicht und der medial vielzitierten Frist liegen bereits fast fünf Monate Verzug.

Was Sie jetzt konkret tun müssen — nach Rolle

Compliance-Beauftragte und Rechtsabteilung: Registrierungsstatus im BSI-Portal sofort verifizieren; bei Unsicherheit über die Sektor-Einstufung die Anwendungsbereichsprüfung vorziehen; Nachweis der Registrierung dokumentieren (Bestätigung, Zeitstempel) für die Audit-Akte.

Geschäftsführung und Vorstand: § 38 BSIG persönlich zur Kenntnis nehmen — das Gesetz weist die Umsetzungs- und Überwachungspflicht der Geschäftsleitung selbst zu, nicht der IT-Abteilung. Registrierungsstatus als festen Tagesordnungspunkt bis zum 31. Juli einplanen.

IT-Leitung und nicht-technische Unternehmensinhaber: ELSTER-Organisationszertifikat rechtzeitig beantragen und die Bearbeitungszeit von mehreren Werktagen einkalkulieren; Portalzugang testen, bevor die Angaben final eingereicht werden.

Wer keine dieser Rollen intern klar besetzt hat, sollte die Registrierung nicht aufschieben, bis eine Struktur existiert — die Frist wartet nicht auf die Organisationsentwicklung.

Häufig gestellte Fragen

Ist der 31. Juli 2026 eine neue gesetzliche Frist?

Nein. Die gesetzliche Frist nach § 33 BSIG lag beim 6. März 2026. Der 31. Juli ist eine Vollzugskulanz des BSI — keine Fristverlängerung im rechtlichen Sinne [5].

Drohen Bußgelder, wenn ich mich erst nach dem 6. März, aber vor dem 31. Juli registriere?

Nach aktuellem Berichtsstand verzichtet das BSI bei einer Registrierung bis zum 31. Juli auf ein Bußgeldverfahren wegen verspäteter Registrierung. Eine förmliche, rechtsverbindliche Zusicherung mit identischem Wortlaut ist auf der offiziellen BSI-Seite nicht dokumentiert — die Angaben stammen aus mehreren übereinstimmenden Fachpublikationen, nicht aus einer eigenen BSI-Pressemitteilung [4][5][6].

Was passiert, wenn ich auch den 31. Juli verpasse?

Das Bußgeldrisiko nach § 65 BSIG — bis zu 500.000 € allein für die Verletzung der Registrierungspflicht — steigt, ebenso das Risiko einer persönlichen Haftung der Geschäftsleitung nach § 38 BSIG bei nachgelagerten Pflichtverletzungen.

Kann das BSI Unternehmen auch selbst registrieren?

Ja. § 33 BSIG erlaubt dem BSI, die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vorzunehmen, wenn ein Unternehmen seiner Pflicht nicht nachkommt [1]. Das ersetzt jedoch nicht die eigene Prüfung der zugrunde liegenden Risikomanagementmaßnahmen.

Gilt die Nachfrist auch für Unternehmen, die erst nach März 2026 neu in den Anwendungsbereich fallen?

Für sie gilt grundsätzlich die reguläre Drei-Monats-Frist ab dem Zeitpunkt, an dem die Einrichtungseigenschaft eintritt [1]. Die Kulanz bis 31. Juli bezieht sich auf den bereits abgelaufenen März-Termin, nicht auf künftige Neuzugänge.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Zuständigkeit und Unternehmensart variieren. Konsultieren Sie für eine auf Ihre Situation zugeschnittene Einschätzung einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

• § 33 BSIG — Registrierungspflicht, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• § 65 BSIG — Bußgeldvorschriften, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• § 38 BSIG — Geschäftsleiterhaftung, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• BSI — NIS-2-regulierte Unternehmen (offizielle BSI-Seite)
• Kleeberg — NIS-2-Registrierung: BSI gewährt Nachfrist bis 31. Juli 2026
• boerse-express — NIS-2-Registrierung: BSI verlängert Frist bis 31. Juli