Die Nachfrist ist durch. Am 31. Juli 2026 lief die vom BSI gewährte Verlängerung für die NIS-2-Registrierung ab. Die eigentliche Frist war bereits am 6. März 2026 verstrichen — drei Monate nach Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025. Wer jetzt noch nicht registriert ist, hat ein Problem. Aber kein unlösbares.
Rund 29.500 Unternehmen in Deutschland fallen unter die NIS-2-Aufsicht des BSI — vorher waren es etwa 4.500. Das ist eine Versechsfachung. Gleichzeitig zeigt der Cyber Security Report 2026, dass rund 48 Prozent der befragten Unternehmen ihre regulatorische Betroffenheit unterschätzen. Anders gesagt: Fast die Hälfte der Betroffenen weiß nicht, dass sie betroffen ist.
NIS-2 gilt für Unternehmen ab 50 Mitarbeitenden und 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren. Dazu gehören die offensichtlichen Branchen wie Energie, Gesundheit und IT/Telekommunikation, aber auch Bereiche, die viele nicht auf dem Schirm haben:
Entscheidend: Die Betroffenheit muss aktiv geprüft werden. Es gibt keine behördliche Benachrichtigung. Wer sich nicht meldet, wird nicht erinnert — sondern irgendwann kontrolliert.
Die Sanktionen sind in zwei Stufen gestaffelt. Für „besonders wichtige Einrichtungen" drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für „wichtige Einrichtungen" bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes.
Aber der eigentliche Hebel ist die persönliche Haftung: Geschäftsführer und Vorstände müssen die Umsetzung der Risikomanagement-Maßnahmen billigen und überwachen. Bei grober Pflichtverletzung haften sie persönlich. Das ist neu — und das ändert die Dynamik in vielen Geschäftsleitungen.
Für Unternehmen, die die Frist verpasst haben, gibt es einen klaren Fahrplan:
Die Registrierung erfolgt über das BSI-Portal MUK (muk.bsi.bund.de) mit ELSTER-Authentifizierung. Auch nach Fristablauf ist die Registrierung möglich und zeigt dem BSI, dass das Unternehmen reagiert. Stammdaten, Sektorzuordnung und eine Kontaktperson — mehr braucht es für den ersten Schritt nicht.
Warum fällt Ihr Unternehmen unter NIS-2? In welchen Sektor? Als „besonders wichtige" oder „wichtige" Einrichtung? Diese Analyse muss nachvollziehbar dokumentiert sein — nicht nur für das BSI, sondern auch für die eigene Geschäftsführung, die diese Einordnung mittragen muss.
NIS-2 verlangt ein systematisches Risikomanagement für Netz- und Informationssysteme. Das umfasst unter anderem:
Im Ernstfall gelten enge Fristen: 24 Stunden für eine Frühwarnung an das BSI, 72 Stunden für eine qualifizierte Erstmeldung, ein Monat für den Abschlussbericht. Diese Prozesse müssen stehen, bevor der Vorfall eintritt — nicht danach.
Als Managed Service Provider und externer Datenschutzbeauftragter unterstützen wir Unternehmen im Main-Tauber-Kreis und darüber hinaus bei der vollständigen NIS-2-Umsetzung:
Wir bringen Sie in vier Wochen auf Stand — von der Registrierung bis zum laufenden SIEM-Monitoring.
Kostenlose Erstberatung →