NIS2-Registrierung: Warum der 31. Juli 2026 die eigentliche Frist ist

Die dreimonatige Registrierungsfrist nach dem NIS2-Umsetzungsgesetz ist am 6. März 2026 abgelaufen. Trotzdem ist für viele Einrichtungen die wichtigere Zahl eine andere: der 31. Juli 2026. Bis zu diesem Tag erwartet das BSI die ausstehenden Registrierungen und behandelt verspätete Meldungen bis dahin mit praktischer Nachsicht. Von rund 29.500 betroffenen Unternehmen hatten sich zum gesetzlichen Stichtag nur etwa 11.500 registriert, bis Ende Mai waren es rund 18.500. Es fehlt also weiterhin ein erheblicher Teil.

Wichtig ist die richtige Einordnung dieser Nachfrist. Sie ist eine Duldung bei der Registrierung, keine Verschiebung des Gesetzes. Die materiellen Pflichten gelten seit dem 6. Dezember 2025, unabhängig davon, ob eine Einrichtung sich schon gemeldet hat.

Registrierung ist kein Verwaltungsakt, sondern Selbsteinschätzung

Anders als im alten KRITIS-System stellt das BSI keinen Bescheid aus, der die Betroffenheit feststellt. Jede Einrichtung muss selbst prüfen, ob sie unter das Gesetz fällt, und sich gegebenenfalls aktiv registrieren. Diese Selbsteinschätzung nach §28 BSIG ist der eigentliche erste Schritt, nicht das Ausfüllen des Portalformulars.

Grob gilt: wichtige Einrichtungen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz, besonders wichtige Einrichtungen ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz. Maßgeblich ist zusätzlich die Zugehörigkeit zu einem der 18 Sektoren. Bestimmte Einrichtungen zählen unabhängig von ihrer Größe, etwa qualifizierte Vertrauensdiensteanbieter, DNS- und TLD-Betreiber oder Anbieter öffentlicher Telekommunikationsdienste. Wer hier zu eng prüft und sich fälschlich als nicht betroffen einstuft, trägt das Risiko selbst.

Wer bis Ende Juli handeln muss

Betroffen ist, wer die Kriterien erfüllt und sich noch nicht registriert hat. Das sind derzeit vor allem Einrichtungen, die ihre Betroffenheit noch nicht geprüft haben, und solche, die sie geprüft, die Registrierung aber aufgeschoben haben. Beides lässt sich in den verbleibenden Tagen nachholen, die Registrierung selbst ist der kleinere Aufwand.

Der größere Aufwand ist die ehrliche Bestandsaufnahme dahinter: Fällt mein Unternehmen unter das Gesetz, und erfülle ich bereits die Pflichten, die seit Dezember gelten? Wer die Registrierung nachholt, ohne diese Frage zu beantworten, hat formal gemeldet, aber inhaltlich wenig gewonnen.

Die Pflichten gelten unabhängig von der Registrierung

Die Registrierung ist die Eintrittskarte, nicht die Pflicht selbst. §30 verlangt Risikomanagementmaßnahmen, darunter Monitoring, Logging, Incident Handling, Business Continuity und Lieferkettensicherheit. §32 regelt die gestuften Meldepflichten mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen eines Monats. §38 nimmt die Geschäftsleitung in die Verantwortung, und §65 setzt den Rahmen mit Bußgeldern von bis zu 10 Millionen Euro.

Diese Pflichten laufen seit dem 6. Dezember 2025. Die Nachfrist beim BSI ändert daran nichts. Eine Einrichtung, die sich am 31. Juli registriert, aber im Juni einen erheblichen Vorfall nicht gemeldet hat, war zu diesem Zeitpunkt bereits säumig.

Was jetzt sinnvoll ist

Drei Schritte helfen unmittelbar: die Betroffenheit nach §28 sauber dokumentieren, damit die Einschätzung im Zweifel belegbar ist; die Registrierung nachholen, solange die Nachsicht des BSI gilt; und die Erkennung so aufstellen, dass die 24-Stunden-Frühwarnung realistisch erreichbar ist. Ein einmal durchgespielter Meldeablauf zeigt schnell, wo die Chronik eines Vorfalls reißt.

In unserem Modul Perstat sind Monitoring, Security Posture und ein append-only Audit-Trail so verbunden, dass sich die für §32 nötige Vorfallchronik nachvollziehbar erzeugen lässt. Der eigentliche Punkt ist aber unabhängig vom Werkzeug, nämlich die eigene Betroffenheit zu klären und die laufenden Pflichten nicht mit der einmaligen Registrierung zu verwechseln.

Die Registrierung ist der Anfang der Pflicht, nicht ihr Ende.