NIS2 BSI-Registrierung: Schritt-für-Schritt-Anleitung 2026

Seit dem 6. Januar 2026 steht das BSI-Portal für die NIS-2-Registrierung zur Verfügung. Besonders wichtige und wichtige Einrichtungen, die bereits mit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 unter das BSI-Gesetz fielen, mussten sich nach § 33 BSIG spätestens bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Wer diese Frist versäumt hat, ist weiterhin zur Registrierung verpflichtet und sollte sie unverzüglich nachholen; wer neu in den Anwendungsbereich fällt, hat dafür drei Monate Zeit. Eine fehlende oder fehlerhafte Registrierung kann mit einem Bußgeld von bis zu 500.000 Euro geahndet werden.

Dieser Leitfaden erklärt, welche Angaben das Portal abfragt, wie die Registrierung Schritt für Schritt abläuft und welche Konsequenzen eine fehlende Registrierung hat. Die Angaben basieren auf § 33 BSIG in der Fassung des NIS2UmsuCG sowie auf den Anleitungen des BSI zum BSI-Portal und zu „Mein Unternehmenskonto“ (Stand: Oktober 2026).

Was ist die BSI-Registrierungspflicht nach NIS2?

Das NIS2UmsuCG verpflichtet besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister in Deutschland dazu, sich beim BSI zu registrieren. Die Rechtsgrundlage bildet § 33 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen in der Fassung des NIS2UmsuCG). Die Pflicht umfasst:

• Erstregistrierung spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG)
• Aktualisierung bei jeder Änderung der übermittelten Angaben – unverzüglich, spätestens binnen zwei Wochen ab Kenntnis (§ 33 Abs. 5 BSIG)
• Für bestimmte digitale Einrichtungsarten (z. B. Cloud- und Rechenzentrumsdienste, Managed (Security) Service Provider, Online-Marktplätze) zusätzliche Angaben nach § 34 BSIG

Die Registrierung ist nicht identisch mit dem Incident-Reporting. Sie verschafft dem BSI einen Überblick über die regulierten Einrichtungen und hält Kontaktdaten sowie die zuständigen Aufsichtsbehörden vor. Registriert wird über eine gemeinsam vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Registrierungsmöglichkeit – in der Praxis das BSI-Portal unter portal.bsi.bund.de.

Ob eine Einrichtung unter NIS2 fällt, ergibt sich aus der NIS2-Anwendungsbereichsprüfung anhand von Sektor, Größe und Einrichtungsart (§ 28 BSIG mit Anlagen 1 und 2). Die Einstufung als besonders wichtig oder wichtig folgt aus dem Gesetz und bestimmt unter anderem die Aufsichtsbefugnisse des BSI und den Bußgeldrahmen bei Verstößen gegen Risikomanagement- und Meldepflichten.

Das BSI-Portal: Zugang über „Mein Unternehmenskonto“

Das BSI-Portal ist seit dem 6. Januar 2026 in Betrieb. Die Registrierung ist nach Angaben des BSI zweistufig: Zunächst ist eine Anmeldung beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) erforderlich, anschließend folgt die Registrierung im BSI-Portal. MUK basiert auf der ELSTER-Technologie; für die Anmeldung im BSI-Portal wird ein ELSTER-Organisationszertifikat benötigt. Ein persönliches ELSTER-Zertifikat oder eine BundID nennen die BSI-Anleitungen nicht als Zugangsweg.

Voraussetzungen im Überblick:

• Eine deutsche Steuernummer der Organisation (gleich auf welcher Grundlage, z. B. Umsatz- oder Ertragsteuer) – ein Sitz in Deutschland ist nicht erforderlich
• Ein ELSTER-Organisationszertifikat, beantragt über mein-unternehmenskonto.de/registrierung (kostenlos)
• Die Zertifikatsdatei und das Passwort – nötig bei jeder Anmeldung; das BSI empfiehlt ein eigenes Zertifikat pro Person mit Portalzugang

Organisationen ohne ELSTER-Organisationszertifikat müssen dieses zunächst beantragen. Die Aktivierungsdaten kommen per E-Mail, der Aktivierungscode zusätzlich per Brief an die bei der Steuerverwaltung hinterlegte Unternehmensadresse; die Zustellung dauert laut BSI in der Regel mindestens fünf Werktage. Dieser Vorlauf sollte bei der Planung der Registrierung berücksichtigt werden.

Welche Angaben werden bei der Registrierung abgefragt?

§ 33 Abs. 1 BSIG legt fünf Pflichtangaben fest: (1) Name der Einrichtung einschließlich Rechtsform und gegebenenfalls Handelsregisternummer, (2) Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern, (3) den relevanten Sektor bzw. die Branche nach Anlage 1 oder 2, (4) die EU-Mitgliedstaaten, in denen die Einrichtung entsprechende Dienste erbringt, und (5) die zuständigen Aufsichtsbehörden des Bundes und der Länder. Das BSI-Portal fragt diese Angaben in mehreren Blöcken ab. Fehlende, unrichtige oder unvollständige Angaben können ein Bußgeld nach § 65 BSIG auslösen.

1. Grundangaben zur Organisation

Die Stammdaten werden beim Login automatisch aus „Mein Unternehmenskonto“ übernommen:

• Name der Einrichtung
• Rechtsform (GmbH, AG, GmbH & Co. KG, e. V., Körperschaft des öffentlichen Rechts etc.)
• Registerart, Registernummer und Registergericht (soweit vorhanden)
• Anschrift
• optional die Website-URL der Einrichtung

Diese Stammdaten sind im ELSTER-Organisationszertifikat hinterlegt und können im BSI-Portal nicht geändert werden; Korrekturen erfolgen über „Mein ELSTER“. Umsatz und Mitarbeiterzahl nennt § 33 Abs. 1 BSIG nicht als Pflichtangaben.

Hinweis für Konzerne: Registriert wird die jeweilige Einrichtung, nicht der Konzern. Mit dem ELSTER-Organisationszertifikat einer Einrichtung lässt sich nach Angaben des BSI keine andere Einrichtung registrieren. Größere Organisationen können die Registrierungen aller betroffenen Einheiten aber durch eine „Zentrale Stelle“ vornehmen lassen, der die Organisationszertifikate der einzelnen Einrichtungen zur Verfügung gestellt werden.

2. NIS-2-Kontaktstelle und Kontaktpersonen

Für den Informationsaustausch mit dem BSI fragt das Portal zwei Arten von Kontaktdaten ab:

• NIS-2-Kontaktstelle: Organisationseinheit bzw. Abteilung, Adresse (aus dem Zertifikat vorausgefüllt, änderbar), eine oder zwei Telefonnummern im internationalen Format und eine E-Mail-Adresse der Organisationseinheit – das BSI empfiehlt hierfür ein Funktionspostfach statt einer persönlichen Adresse
• NIS-2-Kontaktperson(en): Personen, die zum Thema NIS-2 bzw. zur Regulierung nach dem BSI-Gesetz aussagefähig sind; die benannte Person ist darüber zu informieren, was im Portal bestätigt wird
• Weitere Kontaktpersonen: Das BSI empfiehlt, mehrere Personen anzugeben und über „Rolle oder Funktion“ zu kennzeichnen, wer zu welchem Thema angesprochen werden sollte

Ein Funktionspostfach ist also ausdrücklich vorgesehen – es sollte aber regelmäßig bearbeitet werden. Eine gesetzliche Reaktionszeit für die Kontaktstelle schreibt § 33 BSIG nicht vor.

3. Technische Angaben: IP-Adressbereiche

Dieser Abschnitt erfordert für viele Einrichtungen die meiste Vorarbeit. Das BSI fragt nach allen öffentlichen statischen IP-Adressbereichen der Einrichtung in CIDR-Notation:

• IPv4-Adressbereiche (z. B. 203.0.113.0/24)
• IPv6-Adressbereiche (z. B. 2001:db8::/32)
• Gibt es keine öffentlichen IP-Adressbereiche, ist dies im Portal anzugeben

Eine Mindestzahl an Präfixen sieht die BSI-Anleitung nicht vor. Prüfen Sie vorab mit Netzwerkabteilung bzw. Provider und anhand von WHOIS-Daten, welche statischen öffentlichen Adressbereiche Ihrer Einrichtung zugeordnet sind.

4. Sektorale Zuordnung und Einstufung

Im Registrierungsformular ordnet sich die Einrichtung selbst zu:

• Stellen des Bundes: Angabe, ob die Einrichtung zu den Bundesbehörden, Körperschaften, Anstalten oder Stiftungen des öffentlichen Rechts (des Bundes) zählt
• Betreiber kritischer Anlagen: Angabe, ob die Einrichtung bereits als KRITIS-Betreiber registriert ist, und gegebenenfalls deren Institutions-ID
• NIS-2-Einstufung: Auswahl der passenden Kategorie, etwa besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG) oder wichtige Einrichtung (§ 28 Abs. 2 BSIG)
• Sektor, Branche und Einrichtungsart nach den Anlagen 1 und 2 BSIG (z. B. Sektor Energie, Branche Stromversorgung, Gasversorgung oder Fernwärme-/Fernkälteversorgung); bei Sektoren ohne Branchen ist der Sektor zugleich die Branche
• EU-Mitgliedstaaten, in denen die Einrichtung Dienste erbringt, und alle zuständigen Aufsichtsbehörden des Bundes und der Länder – nicht nur für Informationssicherheit

Die Einstufung ergibt sich aus § 28 BSIG; die Angabe im Portal ändert daran nichts, muss aber zutreffen. Wenn Zweifel bestehen, empfiehlt sich die Rücksprache mit einem auf IT-Sicherheitsrecht spezialisierten Rechtsanwalt, bevor die Registrierung abgeschlossen wird.

Schritt-für-Schritt: Ablauf der BSI-Registrierung

Die Registrierung im BSI-Portal lässt sich – orientiert an der Klickanleitung des BSI – in fünf Schritte gliedern:

Schritt 1 — ELSTER-Organisationszertifikat über MUK beantragen
Beantragen Sie, falls noch nicht vorhanden, unter mein-unternehmenskonto.de/registrierung ein ELSTER-Organisationszertifikat auf Basis der Steuernummer der Einrichtung. Nach Eingang von Aktivierungs-E-Mail und Aktivierungsbrief laden Sie die Zertifikatsdatei herunter.

Schritt 2 — Anmeldung im BSI-Portal
Rufen Sie portal.bsi.bund.de auf und wählen Sie „Mit MUK anmelden“. Sie werden zu ELSTER weitergeleitet, laden dort das Organisationszertifikat hoch und geben das Passwort ein. Anschließend bestätigen Sie die Weitergabe der im Zertifikat hinterlegten Daten an das BSI-Portal.

Schritt 3 — NIS-2-Bereich öffnen und Einstufung angeben
Wechseln Sie über „Zur NIS-2“ in den NIS-2-Bereich und starten Sie „Zur NIS-2-Registrierung“. Beantworten Sie die Fragen zu „Stellen des Bundes“ und KRITIS und machen Sie die Angaben zu Einstufung, Sektor, Branche, Einrichtungsart, Mitgliedstaaten und Aufsichtsbehörden (bei mehreren Sektoren: „Weitere Einrichtungsart hinzufügen“).

Schritt 4 — Kontaktstelle, Kontaktpersonen und IP-Adressbereiche
Prüfen Sie die übernommenen Unternehmensangaben, benennen Sie die NIS-2-Kontaktstelle und mindestens eine Kontaktperson und tragen Sie die öffentlichen statischen IP-Adressbereiche ein (oder geben Sie an, dass keine existieren).

Schritt 5 — Registrierung abschließen und Nutzer verwalten
Sind alle Pflichtangaben gemacht, schließen Sie die Registrierung über „Registrierung abschließen“ ab. Der erste Nutzer, der die Einrichtung registriert, erhält automatisch die Verwalterrolle („Owner“) und kann weitere Nutzer einladen. Das BSI empfiehlt, mindestens zwei Owner zu benennen. Spätere Änderungen erfolgen im NIS-2-Bereich unter dem Reiter „Ihre Registrierung“.

Fristen: Wann musste sich Ihre Einrichtung registrieren?

Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten. § 33 Abs. 1 BSIG verlangt die Registrierung „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten“. Für Einrichtungen, die bereits mit Inkrafttreten erfasst waren, endete die Frist damit am 6. März 2026. Das BSI-Portal stand ab dem 6. Januar 2026 zur Verfügung.

Die Registrierungspflicht gilt laufend:

• Einrichtungen, die nach dem 6. Dezember 2025 erstmals oder erneut die Kriterien erfüllen (z. B. durch Wachstum, neue Dienstleistungen oder Sektorwechsel), müssen sich innerhalb von drei Monaten registrieren.
• Änderungen der übermittelten Angaben – etwa bei Kontaktdaten, IP-Bereichen oder Sektorzugehörigkeit – sind dem BSI unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln (§ 33 Abs. 5 BSIG).
• Einrichtungsarten nach § 60 Abs. 1 BSIG (u. a. DNS, TLD-Registries, Cloud, Rechenzentren, CDN, MSP/MSSP, Online-Marktplätze, Suchmaschinen, soziale Netzwerke) übermitteln zusätzlich die Angaben nach § 34 BSIG; Änderungen sind dort spätestens innerhalb von drei Monaten mitzuteilen.

Wer die Frist vom 6. März 2026 verpasst hat, sollte die Registrierung umgehend nachholen. Ein Schreiben des BSI an Wirtschaftsverbände nannte zwar den 31. Juli 2026 als Termin, bis zu dem ausstehende Registrierungen erwartet wurden – eine gesetzliche Nachfrist war das jedoch nicht. Das BSI kann die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden auch selbst vornehmen (§ 33 Abs. 3 BSIG) und bei Anhaltspunkten für eine Pflichtverletzung Unterlagen und Auskünfte verlangen (§ 33 Abs. 4 BSIG). Eine verspätete Registrierung bleibt grundsätzlich bußgeldbewehrt.

Bußgelder bei Nicht-Registrierung

Wer vorsätzlich oder fahrlässig entgegen § 33 Abs. 1 BSIG eine Angabe „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt“, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 6 BSIG). Anders als bei Verstößen gegen Risikomanagement- oder Meldepflichten hängt der Bußgeldrahmen hier nicht von der Einstufung der Einrichtung ab:

Verstoß	Maximales Bußgeld	Rechtsgrundlage
Registrierungsangaben nach § 33 Abs. 1 oder § 34 Abs. 1 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt	bis zu 500.000 €	§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG
Änderungen nach § 34 Abs. 2 BSIG nicht oder nicht rechtzeitig mitgeteilt (Einrichtungsarten nach § 60 BSIG)	bis zu 500.000 €	§ 65 Abs. 2 Nr. 8, Abs. 5 Satz 1 Nr. 5 BSIG
Zum Vergleich: Verstöße gegen Risikomanagement- (§ 30) oder Meldepflichten (§ 32)	bis zu 10 Mio. € (besonders wichtig) bzw. 7 Mio. € (wichtig)	§ 65 Abs. 5 Satz 1 Nr. 1 BSIG; bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % (Abs. 6, 7)

Wichtig: Bei fahrlässigem Handeln beträgt das Höchstmaß für Registrierungsverstöße grundsätzlich die Hälfte, also bis zu 250.000 € (§ 17 Abs. 2 OWiG; § 65 Abs. 9 BSIG schließt diese Halbierung nur für die höchsten Bußgeldstufen aus). Zuständige Bußgeldbehörde ist das BSI (§ 65 Abs. 10 BSIG). Die Pflichten der Geschäftsleitung nach § 38 BSIG beziehen sich auf die Risikomanagementmaßnahmen nach § 30 BSIG, nicht auf die Registrierung; eine besondere Geschäftsführerhaftung für die Registrierung enthält das BSIG nicht. Eine persönliche Verantwortlichkeit von Leitungspersonen kommt allenfalls nach den allgemeinen Regeln des Ordnungswidrigkeitenrechts in Betracht (z. B. §§ 9, 130 OWiG).

Die Aktualisierungspflicht nach § 33 Abs. 5 BSIG nennt § 65 Abs. 2 Nr. 6 BSIG nicht ausdrücklich; sie bleibt dennoch gesetzliche Pflicht. Informationen zu den vollständigen Meldepflichten nach NIS2, einschließlich der 24- und 72-Stunden-Fristen für Sicherheitsvorfälle, finden Sie in unserem Leitfaden zur Vorfallmeldung; eine Übersicht aller Bußgeldtatbestände enthält unser Beitrag zu NIS2-Bußgeldern.

Häufige Fehler bei der BSI-Registrierung

Folgende Stolpersteine ergeben sich aus den Vorgaben des BSI zum Registrierungsverfahren:

• Fehlende ELSTER-Vorbereitung: Das Organisationszertifikat wird erst kurz vor der Registrierung beantragt, der Aktivierungsbrief geht an die bei der Steuerverwaltung hinterlegte Adresse und kommt nicht rechtzeitig bei der zuständigen Stelle an. Lösung: Zertifikat frühzeitig beantragen und interne Postwege klären.
• Unvollständige IP-Bereiche: Nicht alle öffentlichen statischen Adressbereiche werden erfasst. Lösung: Vor der Registrierung eine Bestandsaufnahme mit Netzwerkabteilung und Provider durchführen.
• Nur ein Owner: Verlässt die einzige Person mit Verwalterrolle das Unternehmen, ist der Zugang nur über den BSI-Support wiederherzustellen. Das BSI empfiehlt mindestens zwei Owner.
• Unvollständige Sektor- und Behördenangaben: Einrichtungen, die in mehreren Sektoren tätig sind, melden nur eine Einrichtungsart, oder Landesaufsichtsbehörden fehlen. Lösung: Alle zutreffenden Einrichtungsarten und alle zuständigen Aufsichtsbehörden des Bundes und der Länder angeben.
• Fehlende Aktualisierung nach Änderungen: Nach Umstrukturierungen, Fusionen oder Personalwechseln werden Registrierungsdaten nicht angepasst. Die Frist nach § 33 Abs. 5 BSIG beträgt höchstens zwei Wochen ab Kenntnis.
• KRITIS-Betreiber ohne NIS-2-Registrierung: Betreiber kritischer Anlagen registrieren sich derzeit weiterhin über das Melde- und Informationsportal (MIP 2) und müssen sich zusätzlich im BSI-Portal als besonders wichtige Einrichtung mit ihrer KRITIS-Institutions-ID registrieren.

Häufige Fragen zur BSI-Registrierung

Müssen auch kleine Unternehmen unter 50 Mitarbeitern sich registrieren?
In der Regel nicht – erfasst sind grundsätzlich Einrichtungen in den Sektoren der Anlagen 1 und 2 BSIG ab mittlerer Größe, also mit mindestens 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme (§ 28 BSIG). Ausnahmen gelten für bestimmte Einrichtungsarten unabhängig von der Größe, z. B. qualifizierte und nicht qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Diensteanbieter, Betreiber öffentlicher Telekommunikationsnetze bzw. -dienste sowie Betreiber kritischer Anlagen. Auch Domain-Name-Registry-Dienstleister sind nach § 33 Abs. 1 BSIG zur Registrierung verpflichtet.

Was passiert, wenn ich mich als besonders wichtig einstufe, obwohl meine Einrichtung nur wichtig ist?
Die Einstufung folgt aus § 28 BSIG, nicht aus der Angabe im Portal. Eine falsche Angabe ändert die rechtliche Einordnung nicht, ist aber eine unrichtige Registrierungsangabe, die nach § 65 Abs. 2 Nr. 6 BSIG bußgeldbewehrt sein kann. Fällt der Fehler auf, korrigieren Sie die Angabe unter „Ihre Registrierung“. Bei Unsicherheit sollte die Einstufung rechtlich abgesichert werden.

Muss ich mich erneut registrieren, wenn sich meine IP-Bereiche ändern?
Nein, eine neue Registrierung ist nicht nötig – die bestehende Registrierung wird im NIS-2-Bereich unter „Ihre Registrierung“ aktualisiert. Da die öffentlichen IP-Adressbereiche zu den Angaben nach § 33 Abs. 1 BSIG gehören, gilt für jede Änderung die Frist des § 33 Abs. 5 BSIG: unverzüglich, spätestens binnen zwei Wochen ab Kenntnis. Eine jährliche Sammelbestätigung sieht das Gesetz nicht vor.

Ich bin Dienstleister und betreibe IT für mehrere NIS2-pflichtige Kunden. Muss ich mich selbst registrieren?
Das hängt von Ihrer eigenen Einstufung ab. Als Managed Service Provider, Managed Security Service Provider oder Cloud-Anbieter kann Ihr Unternehmen selbst eine besonders wichtige oder wichtige Einrichtung sein – unabhängig von Ihren Kunden; maßgeblich sind Einrichtungsart und Größe nach § 28 BSIG. Für diese Einrichtungsarten gilt zusätzlich § 34 BSIG (Niederlassungen bzw. Vertreter in der EU, über ein BSI-Formular). Übernehmen Sie nur die Meldungen für einen Kunden, ist dafür keine eigene Registrierung nötig; Sie handeln dann mit eigenen, vom Kunden berechtigten ELSTER-Organisationszertifikaten.

Was ist der Unterschied zwischen der BSI-Registrierung und der Vorfallmeldung?
Die Registrierung ist die Grundmeldung zur Identifikation und Kontaktaufnahme, die bei Änderungen aktuell zu halten ist. Die Vorfallmeldung nach § 32 BSIG betrifft erhebliche Sicherheitsvorfälle: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden nach Kenntniserlangung und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Beides läuft über das BSI-Portal – die Meldungen gehen an die gemeinsame Meldestelle von BSI und BBK – und setzt eine abgeschlossene Registrierung voraus, ist aber rechtlich getrennt.

Quellen

• BSI-Gesetz (BSIG), § 33 Registrierungspflicht: gesetze-im-internet.de/bsig_2025/__33.html; § 34: __34.html; § 65 Bußgeldvorschriften: __65.html (Gesamttext: gesetze-im-internet.de/bsig_2025/)
• NIS2UmsuCG — Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. 2025 I Nr. 301 (in Kraft seit 6. Dezember 2025)
• BSI: Anleitung zur Registrierung im BSI-Portal, bsi.bund.de/dok/anleitung-portal-registrierung
• BSI: Mein Unternehmenskonto (MUK) — erster Schritt der NIS-2-Registrierung, bsi.bund.de/dok/muk
• BSI: Festlegung der Einzelheiten zur Ausgestaltung des Registrierungsverfahrens gemäß § 33 Absatz 6 BSIG, Version 1.0 (26.06.2026), bsi.bund.de (PDF)
• BSI: Fragen und Antworten zum BSI-Portal, bsi.bund.de; Pressemitteilung vom 06.01.2026, bsi.bund.de