NIS2 in Dänemark: NIS 2-loven, Behörden und Pflichten

Dänemark hat die NIS-2-Richtlinie ((EU) 2022/2555) mit dem NIS 2-loven (Lov nr. 434 af 6. maj 2025) umgesetzt, das am 1. Juli 2025 in Kraft getreten ist – und damit erst nach Ablauf der EU-Umsetzungsfrist vom 17. Oktober 2024. Das Gesetz schafft einen gemeinsamen Rahmen für die meisten NIS2-Sektoren; für Energie, Telekommunikation und bestimmte Finanzunternehmen wurde die Richtlinie in gesonderten Fachgesetzen umgesetzt. Für deutsche Unternehmen mit dänischen Tochtergesellschaften, Lieferanten oder Partnern – etwa im Logistik-, Energie- und Pharmasektor – lohnt sich daher ein genauer Blick auf den dänischen NIS2-Rahmen. Den Gesamtrahmen der NIS-2-Richtlinie und ihre Kernprinzipien erklärt der Leitfaden zu den NIS2-Grundlagen.

Stand der NIS2-Umsetzung in Dänemark

Die EU-Umsetzungsfrist zum 17. Oktober 2024 hat Dänemark nicht eingehalten: Das Folketing verabschiedete das Gesetz am 29. April 2025, es wurde am 6. Mai 2025 ausgefertigt und trat nach seinem § 33 am 1. Juli 2025 in Kraft. Kernstück der dänischen Transposition ist das Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven) (Gesetz über Maßnahmen zur Sicherstellung eines hohen Cybersicherheitsniveaus), das die NIS2-Grundpflichten – Registrierung, Risikomanagementmaßnahmen und Meldepflichten – für die erfassten Einrichtungen regelt. Federführend ist das Ministerium für gesellschaftliche Sicherheit und Bereitschaft (Ministeriet for Samfundssikkerhed og Beredskab).

Drei Bereiche nimmt das NIS 2-loven ausdrücklich aus, soweit Einrichtungen unter Spezialgesetze fallen: den Energiesektor (Lov om styrket beredskab i energisektoren, Aufsicht: Energistyrelsen), die Telekommunikation (Lov nr. 435 af 6. maj 2025 om sikkerhed og beredskab i telesektoren, Aufsicht: Styrelsen for Samfundssikkerhed) sowie Finanzunternehmen, die nach § 333 des Lov om finansiel virksomhed benannt sind (Aufsicht: Finanstilsynet, abgestimmt auf die DORA-Verordnung). Neben dem allgemeinen Rahmengesetz kann daher je nach Tätigkeit dänisches Sektorfachrecht maßgeblich sein.

Die dänische Umsetzung folgt der EU-weiten Zweiteilung in wesentliche (væsentlige) und wichtige (vigtige) Einrichtungen. Wesentlich sind nach § 4 NIS 2-loven grundsätzlich Einrichtungen der in Anhang 1 genannten Art, die mindestens 250 Personen beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro und eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen. Als wichtig gelten nach § 5 Einrichtungen aus Anhang 1 oder 2, die diese Kriterien nicht erfüllen, aber mindestens 50 Personen beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro haben. Unabhängig von ihrer Größe gelten unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, Einrichtungen der zentralen Staatsverwaltung sowie nach dem dänischen CER-Gesetz als kritisch eingestufte Einrichtungen als wesentlich. Den vollständigen Anwendungsbereich beschreibt der Leitfaden zum NIS2-Anwendungsbereich.

Ein weiteres Merkmal ist die Kontinuität zur NIS1-Ära: Das NIS 2-loven baut auf der bestehenden sektoralen Aufsicht auf, ersetzt vier sektorale NIS1-Gesetze aus dem Jahr 2018 und erweitert die Aufsicht auf die neu hinzugekommenen Sektoren.

SAMSIK, FE und CFCS – wer in Dänemark welche Rolle übernimmt

Das im Dezember 2012 gegründete Center for Cybersikkerhed (CFCS) war als Teil des Verteidigungsnachrichtendienstes (Forsvarets Efterretningstjeneste, FE) lange Dänemarks zentrale Cybersicherheitsstelle und wurde unter NIS1 als CSIRT benannt. Im August 2024 wurden zivile Aufgaben und Mitarbeitende des CFCS in die Styrelsen for Samfundssikkerhed (SAMSIK, Behörde für gesellschaftliche Sicherheit) im neu geschaffenen zivilen Ministerium für gesellschaftliche Sicherheit und Bereitschaft verlagert; die frühere Adresse cfcs.dk leitet inzwischen auf samsik.dk weiter. Unter dem NIS 2-loven verteilen sich die Rollen nach Artikel 8 und 10 NIS2 daher auf mehrere Stellen: SAMSIK ist zentrale Anlaufstelle (Single Point of Contact) und koordiniert die Umsetzung, die Aufsicht führen sektoral zuständige Behörden, und die Aufgabe des nationalen CSIRT nimmt nach Angaben von SAMSIK der FE wahr.

Diese Trennung zwischen ziviler Koordinierung (SAMSIK) und der CSIRT-Funktion im Verteidigungsnachrichtendienst (FE, Geschäftsbereich des Verteidigungsministeriums) unterscheidet das dänische Modell von der deutschen Struktur: Dort ist das dem Bundesinnenministerium unterstellte BSI zentrale Aufsichtsbehörde, und CERT-Bund arbeitet als CSIRT innerhalb des BSI.

Im Vergleich zur deutschen Behördenstruktur ergeben sich für grenzüberschreitend tätige Unternehmen folgende Unterschiede:

Merkmal	SAMSIK / FE (Dänemark)	BSI (Deutschland)
Errichtung	CFCS 2012 im FE; zivile Aufgaben seit August 2024 bei SAMSIK	1991
Unterstellung	SAMSIK: Ministerium für gesellschaftliche Sicherheit und Bereitschaft; FE: Verteidigungsministerium	Bundesinnenministerium (BMI)
NCA-Funktion	Sektorale Behörden; SAMSIK u. a. für Staatsverwaltung, Kommunen und Teile der Industrie	Ja (+ sektorale Behörden)
Nationales CSIRT	FE (Art. 10 NIS2)	CERT-Bund (intern im BSI)
Meldestelle	Selbstbedienungslösung auf virk.dk (MitID)	BSI-Portal
Sanktionsrahmen (wesentl. EE)	Geldstrafe im Strafverfahren; laut Gesetzesbegründung bis zu 10 Mio. € / 2 % Umsatz	Bußgeld bis zu 10 Mio. € / 2 % Umsatz

Erhebliche Sicherheitsvorfälle sind nach § 12 NIS 2-loven der zuständigen Behörde und dem CSIRT zu melden. Die Meldung erfolgt über die von SAMSIK vorgegebene Selbstbedienungslösung auf virk.dk; laut Gesetzesbegründung wird sie automatisch an die zuständige Behörde, das CSIRT und die zentrale Anlaufstelle verteilt. Das gestufte Meldeverfahren entspricht Artikel 23 NIS2: Frühwarnung spätestens 24 Stunden nach Kenntnisnahme, Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht spätestens einen Monat nach der Vorfallmeldung (§ 13 NIS 2-loven); für Vertrauensdiensteanbieter gilt für die Vorfallmeldung eine Frist von 24 Stunden. Als nationales CSIRT wirkt der FE zudem im europäischen CSIRT-Netzwerk nach Artikel 15 NIS2 mit.

Das dezentrale Behördenmodell – sektorale Aufsicht in Dänemark

Die Aufsicht nach dem NIS 2-loven liegt bei den sektoral zuständigen Behörden, die das Ministerium per Verordnung benannt hat (Bekendtgørelse nr. 620 af 2. juni 2025). Einrichtungen können daher je nach Sektor mit unterschiedlichen Aufsichtsinstanzen zu tun haben – eine wichtige praktische Besonderheit für deutsche Unternehmen mit dänischen Beteiligungen:

Sektor	Zuständige dänische Behörde	Aufsicht in DE (vereinfacht)
Energie	Energistyrelsen (Dänische Energiebehörde) – gesondertes Energiegesetz	BNetzA / BSI
Finanzen / Banken	Finanstilsynet (Dänische Finanzaufsicht) – Lov om finansiel virksomhed, abgestimmt auf DORA	BaFin (DORA)
Telekommunikation	Styrelsen for Samfundssikkerhed – gesondertes Telekommunikationsgesetz	BNetzA / BSI
Digitale Infrastruktur / Digitale Anbieter	Digitaliseringsstyrelsen (Digitalisierungsbehörde)	BSI
See- und Hafenverkehr	Søfartsstyrelsen (Reedereien); Trafikstyrelsen (Häfen); SAMSIK (Schiffsverkehrsdienste)	BSI
Luft-, Straßen- und Schienenverkehr	Trafikstyrelsen (Dänische Verkehrsbehörde)	BSI
Gesundheit	Sundhedsdatastyrelsen (Gesundheitsdatenbehörde)	BSI
Trink- und Abwasser	Miljøstyrelsen (Umweltbehörde)	BSI
Verarbeitendes Gewerbe (NACE 26–30), Chemie	Styrelsen for Samfundssikkerhed	BSI
Öffentliche Verwaltung	SAMSIK (Staat, Kommunen); Sundhedsdatastyrelsen (Regionen)	BSI (Bundesverwaltung)

Für deutsche Konzerne mit dänischen Einheiten bedeutet diese Struktur: Registrierung und Vorfallmeldungen laufen zentral über virk.dk. Die Registrierung wird laut SAMSIK automatisch an die sektoral zuständigen Behörden weitergeleitet, die anschließend die weitere Bearbeitung und Aufsicht übernehmen. Bei der Planung von Compliance-Prozessen empfiehlt es sich, die sektorzuständige Behörde frühzeitig als Kommunikationspartner zu identifizieren; bei Tätigkeiten in mehreren Sektoren können mehrere Behörden zuständig sein.

Relevanz für deutsche Unternehmen mit Dänemark-Bezug

Dänemark und Deutschland unterhalten enge Wirtschaftsbeziehungen. Die NIS2-Regulierung ist daher für deutsche Unternehmen in mehreren Konstellationen von direkter operativer Bedeutung.

Maersk und die globale Logistik-Lieferkette. A.P. Møller-Maersk mit Hauptsitz in Kopenhagen ist einer der weltgrößten Containerschifffahrts- und Logistikkonzerne. Deutsche Industrie- und Handelsunternehmen, die Maersk als Logistikdienstleister einsetzen, haben über diesen Partner einen Berührungspunkt mit dem dänischen NIS2-Regime. Reedereien im Personen- und Güterverkehr gehören zum Sektor Verkehr (Anhang I Nr. 2 NIS2); zuständig ist in Dänemark die Søfartsstyrelsen. Maersk war 2017 einer der am stärksten vom NotPetya-Angriff betroffenen Konzerne und bezifferte die Folgen damals auf 200 bis 300 Millionen US-Dollar – ein Beispiel dafür, wie unmittelbar Cybersicherheit in diesem Sektor die Geschäftsfähigkeit betrifft. Für NIS2-regulierte deutsche Auftraggeber kann es sinnvoll sein, Sicherheitsanforderungen auch in Verträgen mit großen Logistikdienstleistern zu adressieren.

Energiesektor: Vestas und Windenergie. Vestas Wind Systems, einer der weltweit führenden Windturbinenhersteller mit Sitz in Aarhus, ist ein wichtiger Lieferant für deutsche Offshore- und Onshore-Windprojekte. Ob und in welcher Eigenschaft ein Turbinenhersteller in Dänemark NIS2-reguliert ist, hängt von seinen konkreten Tätigkeiten ab: Die Herstellung elektrischer Ausrüstungen und Maschinen fällt unter Anhang II Nr. 5 NIS2, für den in Dänemark SAMSIK zuständig ist; der Betrieb von Erzeugungsanlagen unterliegt dagegen dem gesonderten Energierecht unter Aufsicht der Energistyrelsen. Für NIS2-regulierte deutsche Energieversorger und Netzbetreiber erstreckt sich die Lieferkettensicherheit nach Artikel 21 Absatz 2 Buchstabe d NIS2 grundsätzlich auch auf ausländische Lieferanten – etwa bei ferngesteuerten Wartungsdiensten.

Pharmasektor: Novo Nordisk und die medizinische Lieferkette. Novo Nordisk mit Sitz in Bagsværd zählt zu den großen Pharmaunternehmen weltweit und beliefert den deutschen Gesundheitsmarkt unter anderem mit Insulin und GLP-1-Präparaten. Hersteller pharmazeutischer Erzeugnisse (NACE C21) gehören nach Anhang I Nr. 5 NIS2 zum Gesundheitssektor; zuständige Behörde ist in Dänemark die Sundhedsdatastyrelsen. Deutsche Krankenhäuser und pharmazeutische Großhändler, die selbst NIS2-reguliert sind, können Anforderungen an die Lieferkettensicherheit in ihren Lieferantenvereinbarungen verankern.

Zuständigkeitsregel nach Artikel 26 NIS2. Grundsätzlich unterliegt eine Einrichtung der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen ist (in Dänemark § 2 NIS 2-loven). Eine in Dänemark niedergelassene Tochtergesellschaft eines deutschen Konzerns fällt – sofern sie die Kriterien erfüllt – daher unter dänisches Recht. Auf die Hauptniederlassung kommt es nur bei bestimmten digitalen Anbietern an, etwa bei Cloud- und Rechenzentrumsdiensten, Managed (Security) Service Providern, DNS-Diensteanbietern, Online-Marktplätzen, Suchmaschinen und sozialen Netzwerken. Die deutsche Muttergesellschaft kann ihrerseits unter das BSIG in der Fassung des NIS2UmsuCG und die Aufsicht des BSI fallen. Beide Einrichtungen können parallel als wesentliche oder wichtige Einrichtungen reguliert sein; Registrierung, Meldungen und Aufsichtskontakte laufen dann jeweils über die national zuständigen Stellen. Einen Überblick über die deutsche Umsetzung bietet der Leitfaden zur NIS2-Umsetzung in Deutschland.

Compliance-Fahrplan für Unternehmen mit Dänemark-Bezug

Schritt 1: Betroffenheitsanalyse für dänische Einheiten durchführen. Prüfen Sie für jede dänische Gesellschaft Ihrer Gruppe, ob sie in einem Sektor der Anhänge 1 und 2 tätig ist und die Größenschwellen erreicht (wichtige Einrichtung: ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme; wesentliche Einrichtung in Anhang-1-Sektoren: ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme). Berücksichtigen Sie dabei die größenunabhängigen Fälle – etwa nach dem dänischen CER-Gesetz als kritisch eingestufte Einrichtungen – sowie die gesonderten Regelungen für Energie, Telekommunikation und Finanzen. Erste Orientierung bietet das Prüfwerkzeug NIS2tjek.dk.

Schritt 2: Sektorzuständige Behörde identifizieren. Ermitteln Sie anhand der Tabelle oben bzw. der Übersicht von SAMSIK die für Ihren Sektor zuständige dänische Behörde. Bei Einrichtungen in mehreren Sektoren können mehrere Aufsichtsbehörden zuständig sein. Es empfiehlt sich, frühzeitig eine verantwortliche Kontaktperson in der dänischen Organisation zu benennen, die für die Behörden während der üblichen Arbeitszeit erreichbar ist.

Schritt 3: Registrierung über virk.dk sicherstellen. Erfasste Einrichtungen registrieren sich über ein digitales Formular auf virk.dk (Anmeldung mit MitID Erhverv) und machen dabei Angaben unter anderem zu Name, Sektor und Teilsektor, Kontaktdaten einschließlich statischer öffentlicher IP-Adressbereiche sowie zu den EU-Mitgliedstaaten, in denen sie Dienste erbringen. Die Frist für die Erstregistrierung lief bis zum 1. Oktober 2025; Einrichtungen, die erst danach in den Anwendungsbereich fallen, haben grundsätzlich zwei Wochen Zeit, bestimmte digitale Anbieter drei Monate. Unter DORA fallende Finanzunternehmen sind von dieser Registrierungspflicht ausgenommen. Verstöße gegen die Registrierungspflicht können mit Geldstrafe geahndet werden (§ 32 NIS 2-loven).

Schritt 4: Sicherheitsmaßnahmen nach Artikel 21 NIS2 implementieren. § 6 NIS 2-loven übernimmt die zehn Mindestmaßnahmen des Artikels 21 NIS2; die zuständigen Minister können ergänzende Regeln erlassen. Nach § 7 sind die Maßnahmen von der Leitung zu billigen, deren Mitglieder an Schulungen zum Cyberrisikomanagement teilnehmen müssen. Prüfen Sie, ob Ihr gruppenweites ISMS (z. B. nach ISO 27001) diese Anforderungen auch für die dänischen Einheiten abdeckt. SAMSIK hat vier sektorübergreifende Leitfäden (vejledninger) zu Anwendungsbereich, Rolle der Leitung, Maßnahmen und Vorfallmeldung veröffentlicht; sie können als Ergänzung zu den BSI-Empfehlungen genutzt werden.

Schritt 5: Incident-Response-Prozesse für Dänemark einrichten. Legen Sie fest, wer bei einem Cybersicherheitsvorfall in der dänischen Einheit zuständig ist und wie Frühwarnung (24 h) und Vorfallmeldung (72 h) über virk.dk abgegeben werden. Prüfen Sie, ob ein Vorfall in der dänischen Einheit gleichzeitig eine Meldepflicht gegenüber dem deutschen BSI auslöst, wenn die deutsche Muttergesellschaft ebenfalls reguliert und betroffen ist. Mögliche Doppelmeldungen sollten im Incident-Response-Plan vorab geregelt sein.

Schritt 6: Dänische Lieferanten in Sorgfaltspflicht einbeziehen. Für deutsche NIS2-regulierte Einrichtungen, die dänische Lieferanten einsetzen, empfiehlt es sich, NIS2-bezogene Sicherheitsklauseln in Lieferantenverträgen zu verankern. Die Tatsache, dass ein dänischer Lieferant selbst NIS2-reguliert ist, kann das Risiko reduzieren, entbindet aber nicht von der eigenen Sorgfaltspflicht nach Artikel 21 Absatz 2 Buchstabe d NIS2. Lieferanten-Sicherheitsfragebögen und ISO-27001-Zertifizierungsnachweise können als Compliance-Nachweise angefordert werden.

Häufig gestellte Fragen

Gilt NIS2 in Dänemark bereits für alle betroffenen Einrichtungen?

Ja, seit dem 1. Juli 2025. Dänemark hat die Umsetzungsfrist vom 17. Oktober 2024 nicht eingehalten; das NIS 2-loven trat erst am 1. Juli 2025 in Kraft. Für Energie, Telekommunikation und bestimmte Finanzunternehmen gelten gesonderte Fachgesetze. Die Pflichten zu Risikomanagement und Vorfallmeldung gelten seit dem Inkrafttreten; die Registrierung über virk.dk war bis zum 1. Oktober 2025 vorzunehmen. Die Aufsicht führen die sektoral zuständigen Behörden, koordiniert von SAMSIK.

Was unterscheidet die dänische Aufsicht vom BSI-Modell?

In Dänemark sind die Rollen verteilt: SAMSIK koordiniert als zentrale Anlaufstelle, die Aufsicht liegt bei sektoralen Behörden (etwa Energistyrelsen, Finanstilsynet, Sundhedsdatastyrelsen oder Trafikstyrelsen), und die CSIRT-Funktion nimmt der Verteidigungsnachrichtendienst FE wahr. In Deutschland ist das BSI als Bundesbehörde im Geschäftsbereich des Innenministeriums zentrale Aufsichtsbehörde; CERT-Bund arbeitet als CSIRT innerhalb des BSI. Auch bei Sanktionen gibt es einen Unterschied: Dänemark kennt keine Verwaltungsbußgelder – Verstöße werden im Strafverfahren mit Geldstrafe geahndet. Laut Gesetzesbegründung liegen die Höchstbeträge bei Verstößen gegen Risikomanagement- und Meldepflichten für wesentliche Einrichtungen bei bis zu 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bei bis zu 7 Mio. Euro bzw. 1,4 % (jeweils der höhere Betrag).

Welche Pflichten gelten für eine dänische Tochtergesellschaft eines deutschen Konzerns?

Eine in Dänemark niedergelassene Tochtergesellschaft unterliegt – sofern sie in einem erfassten Sektor tätig ist und die Größenkriterien erfüllt – grundsätzlich dem dänischen NIS 2-loven bzw. dem einschlägigen dänischen Fachgesetz. Vorgesehen sind dann insbesondere die Registrierung über virk.dk, Risikomanagementmaßnahmen nach § 6 NIS 2-loven (entsprechend Artikel 21 NIS2) und die Meldung erheblicher Vorfälle über virk.dk; die Aufsicht führt die sektoral zuständige Behörde. Die deutsche Muttergesellschaft kann unter das BSIG und die BSI-Aufsicht fallen. Beide Einrichtungen können parallel als wesentliche oder wichtige Einrichtungen reguliert sein; die Compliance-Pflichten sind dann getrennt zu erfüllen.

Wie läuft die Cybervorfallsmeldung in Dänemark ab?

Erhebliche Sicherheitsvorfälle bei dänischen NIS2-regulierten Einrichtungen werden über die Selbstbedienungslösung auf virk.dk gemeldet und an die zuständige Behörde sowie das nationale CSIRT (FE) weitergeleitet. Das gestufte Meldeverfahren entspricht Artikel 23 NIS2: Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, Vorfallmeldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat nach der Vorfallmeldung. Ist gleichzeitig eine deutsche regulierte Einrichtung betroffen, ist zu prüfen, ob eine parallele Meldepflicht gegenüber dem BSI über das BSI-Portal ausgelöst wird. Diese Schnittstelle sollte im Incident-Response-Plan vorab definiert sein.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen können je nach Unternehmenstyp, Branche und sektorzuständiger dänischer Behörde variieren. Stand der Angaben: Oktober 2026. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 2, 3, 8, 10, 15, 21, 23, 26 und 34 sowie Anhänge I und II
2. Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven) — retsinformation.dk, insbesondere §§ 1, 2, 4–7, 9–13, 32 und 33
3. Bekendtgørelse nr. 620 af 2. juni 2025 om udpegning af kompetente myndigheder og digital kommunikation omfattet af NIS 2-loven — retsinformation.dk, Benennung der sektoral zuständigen Behörden und Meldeweg über virk.dk
4. Lovforslag L 141 (Folketingsåret 2024–25) mit Gesetzesbegründung — retsinformation.dk, u. a. zu zentraler Anlaufstelle, CSIRT und Sanktionsrahmen
5. Styrelsen for Samfundssikkerhed (SAMSIK) – NIS 2 — offizielle Informationen zu Registrierung, Vorfallmeldung, FAQ und sektoral zuständigen Behörden
6. Center for Cybersikkerhed — Lex (Den Store Danske), Gründung des CFCS 2012 und Verlagerung von Aufgaben an SAMSIK im August 2024
7. Maersk Previews NotPetya Impact: Up to $300 Million — GovInfoSecurity, August 2017, zum Zwischenbericht von A.P. Møller-Maersk
8. BSI – NIS-2-regulierte Unternehmen — Bundesamt für Sicherheit in der Informationstechnik, Registrierung im BSI-Portal, Meldepflichten und FAQ