BSI-Registrierung

Ist Ihre Einrichtung von NIS2 betroffen, müssen Sie sich registrieren. § 33 Abs. 1 BSIG gibt dafür drei Monate ab dem Zeitpunkt, ab dem Sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten. Für Einrichtungen, die es am 6. Dezember 2025 schon gab, lief diese Frist im März 2026 ab.

Frist abgelaufen heißt nicht erledigt

Die Pflicht besteht weiter. Nach § 33 Abs. 3 BSIG kann das Bundesamt die Registrierung im Einvernehmen mit der zuständigen Aufsichtsbehörde sogar selbst vornehmen, wenn die Pflicht nicht erfüllt wird. Nachholen ist der richtige Schritt.

Gemeldet wird an eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit.

Was das Gesetz verlangt

§ 33 Abs. 1 Nr. 1 bis 5 BSIG nennt fünf Angaben:

1. Name der Einrichtung, einschließlich Rechtsform und — falls einschlägig — Handelsregisternummer
2. Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern
3. Relevanter Sektor aus Anlage 1 oder 2, falls einschlägig die Branche
4. Mitgliedstaaten der EU, in denen die Einrichtung Dienste der genannten Einrichtungsarten erbringt
5. Zuständige Aufsichtsbehörden des Bundes und der Länder für die Tätigkeiten, aufgrund derer die Registrierung erfolgt

Das Portal fragt darüber hinaus praktische Angaben ab — etwa eine Kontaktstelle für Meldungen. Planen Sie deren Erreichbarkeit ein: Die Frist für die frühe Erstmeldung nach § 32 Abs. 1 Nr. 1 BSIG beträgt 24 Stunden ab Kenntniserlangung, auch am Wochenende.

Kein eigenes IT-Team?

Zu den Pflichtangaben gehört auch der IT-Dienstleister mit Zugriff. NIS2 verlangt, dass die technischen Schutzmaßnahmen tatsächlich betrieben werden — nicht nur dokumentiert. Unternehmen ohne eigene IT-Abteilung decken das über eine externe IT-Abteilung als Service ab.

So gehen Sie vor

Schritt 1: Daten zusammen

Wizard öffnen → “Daten prüfen”. Hugo füllt aus Ihrem Firmenprofil + Asset-Register so viel wie möglich vor.

Schritt 2: Ergänzen

Fehlende Felder ausfüllen — typisch 5–10 Felder, alles andere ist aus Ihrem Profil.

Schritt 3: PDF erzeugen

Hugo erzeugt das Anmeldungsformular im BSI-vorgegebenen Format als PDF.

Schritt 4: Beim Bundesamt einreichen

Online-Portal: https://portal.bsi.bund.de — Anmeldung mit ELSTER-Organisationszertifikat, dann die NIS-2-Registrierung im Portal abschließen. Offizielle Schritt-für-Schritt-Anleitung: https://www.bsi.bund.de/dok/anleitung-portal-registrierung

Das Organisationszertifikat braucht Vorlauf

Das ELSTER-Organisationszertifikat beantragen Sie über „Mein Unternehmenskonto”. Der Aktivierungscode kommt per Post an die dort hinterlegte Adresse. Wer damit erst anfängt, wenn die Registrierung abgeschickt werden soll, verliert eine Woche. Das ist die Stelle, an der die meisten hängenbleiben — nicht das Formular.

Nach der Einreichung erscheint das Feld für das Aktenzeichen. Tragen Sie es ein, damit sich der Status nachverfolgen lässt.

Schritt 5: Bestätigung speichern

BSI schickt schriftliche Bestätigung. PDF hochladen, fertig.

Änderungen melden

Einen festen Bestätigungsrhythmus kennt das Gesetz nicht. Was es kennt, ist eine Frist für Änderungen: Ändern sich die nach Absatz 1 übermittelten Angaben, sind sie unverzüglich, spätestens jedoch binnen zwei Wochen ab Kenntnis der Änderung zu übermitteln (§ 33 Abs. 5 BSIG).

Das betrifft in der Praxis vor allem Adress- und Kontaktwechsel sowie einen Wechsel der Kontaktstelle. Legen Sie dafür eine Wiedervorlage an — solche Änderungen fallen sonst niemandem auf.

Häufige Probleme

• „Bin ich überhaupt betroffen?” — Der Betroffenheitscheck in der Anwendung fragt Sektor, Beschäftigte, Umsatz, Bilanzsumme und Sonderfälle ab und nennt zu jeder Einstufung die Fundstelle. Kostenlos und ohne Anmeldung geht auch der NIS2-Schnellcheck.
• „Was heißt ‚besonders wichtig’?” — Die Einstufung nach § 28 Abs. 1 BSIG. Sie bringt strengere Aufsicht mit sich: Nach § 61 Abs. 1 kann das Bundesamt Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen. Bei wichtigen Einrichtungen geht das nach § 62 nur anlassbezogen.
• „Was, wenn ich es versäume?” — Wer entgegen § 33 Abs. 1 BSIG eine Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig. Der Rahmen liegt bei bis zu 500.000 € (§ 65 Abs. 2 Nr. 6 in Verbindung mit Abs. 5 Nr. 5). Die höheren Beträge von 10 beziehungsweise 7 Mio. € gehören zu anderen Verstößen — fehlenden Maßnahmen nach § 30 und versäumten Meldungen nach § 32.

Tipps

• Erst das Organisationszertifikat, dann alles andere. Es hat die längste Vorlaufzeit.
• Erreichbarkeit ist ernst gemeint. Eine Mobilnummer mit Rufweiterleitung genügt — es muss nur jemand abnehmen. 24 Stunden sind schnell vorbei, wenn der Vorfall am Freitagabend auffällt.
• Registrieren Sie, auch wenn die Maßnahmen noch nicht stehen. Die Registrierung nach § 33 und die Maßnahmen nach § 30 sind getrennte Pflichten. Auf die eine zu warten, bis die andere fertig ist, verlängert nur den Zeitraum, in dem beide offen sind.