NIS2-Durchsetzung: BSI kündigt Anhörungen ab 2026 und Audits ab 2027 an

Nach Medienberichten hat das BSI konkrete nächste Schritte zur Durchsetzung der NIS2-Pflichten angekündigt. BSI-Abteilungsleiter Timo Hauschild erklärte Anfang Oktober in einem Pressegespräch, über das zuerst Tagesspiegel Background und anschließend ChannelPartner berichteten, dass die Behörde noch im vierten Quartal 2026 eine Durchsetzungsinitiative startet. Ab dem ersten Quartal 2027 sollen einzelne angeordnete Audits folgen.

Mit der angekündigten Initiative rücken neben Information und Unterstützung zunehmend aufsichtsrechtliche Maßnahmen in den Vordergrund. Wichtig für die Einordnung: Es handelt sich um eine angekündigte Verwaltungspraxis, nicht um einen verbindlichen Zeitplan für einzelne Unternehmen. Eine eigene Pressemitteilung mit Details zum Verfahren hat das BSI bislang nicht veröffentlicht. Die gesetzlichen Pflichten gelten dagegen unabhängig von jeder Ankündigung.

Stufe 1: Ansprache und Anhörung noch in diesem Jahr

Im ersten Schritt will das BSI Einrichtungen kontaktieren, bei denen die Registrierungspflicht aus Sicht der Behörde offensichtlich besteht, die sich aber nicht im BSI-Portal registriert haben.

Am Anfang steht nach den wiedergegebenen Aussagen kein Bußgeldbescheid, sondern eine formelle Anhörung. Das Unternehmen erhält Gelegenheit, Stellung zu nehmen: Ist es tatsächlich betroffen? Wurde die Registrierung inzwischen nachgeholt? Gibt es Gründe, die gegen eine Einstufung sprechen? Für diese erste Ansprache ist kein unmittelbarer Bußgeldbescheid vorgesehen.

Erledigt ist das Thema damit allerdings nicht. Am Ende des Verfahrens kann eine Geldbuße stehen. Die fehlende Registrierung ist nach § 65 BSIG ein eigenständiger Bußgeldtatbestand mit einem Rahmen von bis zu 500.000 Euro, unabhängig davon, wie gut die Sicherheitsmaßnahmen im Unternehmen sind. Hinzu kommt: Nach § 33 BSIG kann das BSI eine Einrichtung, die ihrer Pflicht nicht nachkommt, selbst registrieren und Unterlagen sowie Auskünfte verlangen.

Für die Praxis heißt das: Wer angeschrieben wird, sollte mehr vorlegen können als die Aussage "Wir sind nicht betroffen". Gefragt ist eine nachvollziehbare Begründung anhand der tatsächlichen Tätigkeit, der Sektorzuordnung und der Unternehmenskennzahlen. Wer seine Betroffenheitsprüfung schriftlich dokumentiert hat, ist hier klar im Vorteil.

Stufe 2: Angeordnete Audits ab dem ersten Quartal 2027

Die zweite Stufe zielt nicht mehr auf die Registrierung, sondern auf die Umsetzung der Sicherheitsmaßnahmen. Ab dem ersten Quartal 2027 plant das BSI nach eigenen Angaben, gegenüber ausgewählten besonders wichtigen Einrichtungen Audits mit thematischen Schwerpunkten anzuordnen. Beginnen soll die Behörde in KRITIS-Sektoren, in denen sie den größten Handlungsbedarf sieht.

Die Befugnis dazu besteht bereits heute nach § 61 Abs. 1 BSIG: Das BSI kann gegenüber einzelnen besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen. Davon zu unterscheiden sind die gesonderten Nachweisanforderungen nach § 61 Abs. 3 BSIG, für die teilweise spätere gesetzliche Anwendungstermine gelten.

Für wichtige Einrichtungen gilt ein anderer Maßstab. Während besonders wichtige Einrichtungen nach § 61 BSIG auch ohne konkrete Verdachtsmomente überprüft werden können, setzt die Aufsicht über wichtige Einrichtungen nach § 62 BSIG tatsächliche Anhaltspunkte dafür voraus, dass Pflichten nicht ordnungsgemäß erfüllt werden. Das betrifft insbesondere die Risikomanagementmaßnahmen, die Meldepflichten und die Schulungspflicht der Geschäftsleitung. Solche Anhaltspunkte können sich etwa aus festgestellten Sicherheitsmängeln oder Hinweisen auf verletzte Meldepflichten ergeben. Ein eingetretener Sicherheitsvorfall ist dafür nicht zwingend erforderlich. Und: Die anlassbezogene Aufsicht befreit nicht von der Registrierungspflicht oder anderen gesetzlichen Anforderungen.

Zwei weitere Punkte helfen, die Ankündigung richtig einzuordnen:

• Keine flächendeckende Auditkampagne. Für das erste Quartal 2027 sind zunächst gezielte Einzelprüfungen angekündigt.
• Kein spezifischer Prüfkatalog bekannt. Welche Nachweise konkret verlangt werden, ergibt sich erst aus der jeweiligen Anordnung. Die gesetzlichen Anforderungen aus § 30 BSIG bleiben davon unberührt.

Was die neuen Zahlen zeigen

Anfang Oktober hat das BSI seine Statistik "NIS-2 in Zahlen" mit Stand 30. September 2026 aktualisiert.

Registrierungen: Zum 30. September 2026 waren 20.141 Einrichtungen registriert. Davon entfielen 13.252 auf wichtige Einrichtungen, 6.837 auf besonders wichtige Einrichtungen, 51 auf Einrichtungen nach dem Energiewirtschaftsgesetz sowie eine Registrierung auf einen Domain-Name-Registry-Dienstleister. Unter den besonders wichtigen Einrichtungen befanden sich 1.447 KRITIS-Betreiber. Zusammen mit 232 zusätzlichen Registrierungen von Nebenniederlassungen ergeben sich 20.373 Registrierungen insgesamt.

Gegenüber dem 2. April 2026 mit 15.477 registrierten Einrichtungen entspricht das einem Zuwachs von rund 30 Prozent. Das BSI geht von rund 29.500 betroffenen Einrichtungen aus. Rechnerisch ergibt sich damit eine Differenz von etwa 9.400. Diese Differenz ist keine amtlich festgestellte Zahl von Registrierungsverstößen, denn die 29.500 sind eine Schätzung auf Basis von Statistikdaten. Sie verdeutlicht aber, dass der tatsächliche Registrierungsstand noch deutlich unter dem geschätzten Umfang der regulierten Einrichtungen liegt.

Sektoren: Das verarbeitende Gewerbe ist mit 4.739 Registrierungen der größte Block, gefolgt von Gesundheit mit 3.703, Energie mit 2.794 und digitaler Infrastruktur mit 2.674. Vergleichsweise niedrig sind die Zahlen bei Anbietern digitaler Dienste mit 228 und bei der Forschung mit 107. Da Einrichtungen bei der Registrierung mehrere Sektoren angeben können, übersteigt die Summe der Sektorwerte die Gesamtzahl der Registrierungen. Für Domain-Name-Registry-Dienstleister ist die Registrierung laut BSI seit Kalenderwoche 40 möglich.

Meldungen: Die Zahl der NIS2-Erstmeldungen ist von 248 im April auf 1.272 gestiegen, insgesamt gingen inklusive Folgemeldungen 3.070 Meldungen über das Portal ein. Ob dieser Anstieg auf mehr registrierte Einrichtungen, eine veränderte Sicherheitslage oder eine zunehmende Nutzung des Meldeportals zurückgeht, lässt sich aus den veröffentlichten Zahlen allein nicht bestimmen. Ebenso wenig lässt sich daraus eine belastbare Quote nicht gemeldeter Sicherheitsvorfälle ableiten.

Die Statistik dokumentiert damit eine zunehmende Nutzung des BSI-Portals. Rückschlüsse auf die vollständige Erfüllung der Registrierungspflichten oder auf die Meldequote erlaubt sie nicht. Die nächste Aktualisierung kündigt das BSI für Ende Januar 2027 an.

Was Unternehmen jetzt tun sollten

Nicht registriert und vermutlich betroffen? Wer zur Registrierung verpflichtet ist, sollte diese unverzüglich nachholen, idealerweise bevor ein BSI-Schreiben eintrifft. Eine verspätete Registrierung beseitigt die bereits eingetretene Fristversäumnis nicht rückwirkend, erfüllt aber die weiterhin bestehende Pflicht. Die freiwillige Nachholung und eine nachvollziehbare Dokumentation der Umstände können im weiteren Verfahren berücksichtigt werden. Einen Anspruch auf Verzicht oder Reduzierung eines Bußgeldes gibt es jedoch nicht. Planen Sie einige Tage für das ELSTER-Organisationszertifikat ein.

Unsicher, ob Sie betroffen sind? Klären Sie die Frage belastbar und halten Sie das Ergebnis schriftlich fest. Typische Fehlerquellen sind Konzernstrukturen, die Zurechnung von Mitarbeitern und Umsätzen verbundener Unternehmen und Tätigkeiten in mehreren Sektoren. Eine dokumentierte Prüfung ist im Anhörungsverfahren Ihre wichtigste Unterlage, gleich mit welchem Ergebnis.

Registriert, aber noch nicht prüffähig? Nutzen Sie die Zeit bis zu den ersten Audits. Die Registrierung erfüllt eine gesetzliche Erfassungspflicht, die übrigen Pflichten bestehen unabhängig vom Portaleintrag. Bei einem Audit zählt, ob die Maßnahmen nach § 30 BSIG nicht nur auf dem Papier stehen, sondern im Betrieb umgesetzt und nachweisbar sind. Ein Wiederherstellungskonzept beschreibt das Vorgehen, erst ein dokumentierter Wiederherstellungstest belegt, dass es funktioniert.

Welche materiellen Sicherheits- und Nachweispflichten im Einzelfall gelten, hängt von der Einrichtungsart und möglichen spezialgesetzlichen Regelungen ab. Für bestimmte Einrichtungen, etwa im Energie-, Telekommunikations- oder Finanzsektor, können neben dem BSIG insbesondere sektorspezifische Vorschriften maßgeblich sein.

Eine sinnvolle Vorbereitung ordnet die Unterlagen von vornherein der jeweiligen Pflicht zu:

• Betroffenheitsprüfung, Einstufung und Registrierungsnachweis
• Risikoanalyse und Sicherheitskonzepte für die relevanten Systeme und Prozesse
• Verfahren zur Vorfallbehandlung inklusive Meldekette nach § 32 BSIG
• Backup-, Wiederherstellungs- und Notfallkonzepte samt Testprotokollen
• Bewertung kritischer Dienstleister und Lieferanten
• Schwachstellenmanagement, Zugriffskontrolle und Multi-Faktor-Authentisierung
• Dokumentierte Entscheidungen und Verantwortlichkeiten der Geschäftsleitung zur Umsetzung und Überwachung der Risikomanagementmaßnahmen sowie Nachweise über die regelmäßige Teilnahme an Schulungen nach § 38 BSIG
• Ergebnisse von Wirksamkeitsprüfungen sowie offene Mängel mit Maßnahmenplan

Diese Liste ist kein offizieller Prüfkatalog, sondern leitet sich aus den gesetzlichen Pflichten ab. Sie zeigt aber, worauf es ankommt: auf die Verbindung zwischen Anforderung und Nachweis.

Häufige Fragen

Kann das BSI ohne Anlass prüfen?

Bei besonders wichtigen Einrichtungen ja: Nach § 61 BSIG kann das BSI auch ohne konkrete Verdachtsmomente Audits, Prüfungen oder Zertifizierungen anordnen. Bei wichtigen Einrichtungen setzt eine Überprüfung nach § 62 BSIG tatsächliche Anhaltspunkte für eine Pflichtverletzung voraus.

Welche Bußgelder drohen bei fehlender NIS2-Registrierung?

Für Registrierungsverstöße sieht § 65 BSIG einen Bußgeldrahmen von bis zu 500.000 Euro vor. Davon zu unterscheiden sind andere Pflichtverletzungen, etwa bei den Risikomanagementmaßnahmen oder Meldepflichten. Hier gelten teilweise deutlich höhere Rahmen, bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Was passiert bei verspäteter Registrierung?

Die Pflicht ist mit der Nachholung erfüllt, die bereits eingetretene Fristversäumnis bleibt aber bestehen. Ob und wie die Nachholung bei einer möglichen Sanktion berücksichtigt wird, hängt von den Umständen des Einzelfalls ab, etwa von der Dauer der Versäumnis und dem Verhalten nach Bekanntwerden.

Fazit

Das BSI will schrittweise vorgehen und zunächst auf Anhörung statt auf sofortige Sanktion setzen. Das ist eine gute Nachricht für alle, die noch handeln wollen, aber kein Grund zur Entwarnung. Die angekündigte Reihenfolge ist klar: erst die fehlenden Registrierungen, dann die Prüfung der tatsächlichen Umsetzung.

Unternehmen mit dokumentierter Betroffenheitsprüfung, abgeschlossener Registrierung und belastbaren Sicherheitsnachweisen sind auf behördliche Anfragen deutlich besser vorbereitet. Für alle anderen ist das Zeitfenster bis zum ersten Quartal 2027 kürzer, als es auf den ersten Blick scheint.