NIS2-Nachfrist läuft aus: Ab August wechselt das BSI in den Prüfmodus

Am Freitag endet eine Frist, die es offiziell nie gab. Die gesetzliche Registrierungsfrist nach dem NIS2-Umsetzungsgesetz ist bereits am 6. März 2026 abgelaufen. Weil zu diesem Zeitpunkt weniger als die Hälfte der betroffenen Einrichtungen registriert war, hat das BSI faktisch eine Schonzeit eingeräumt und bis Ende Juli auf Information statt auf Sanktion gesetzt. Diese Phase endet jetzt.

Für Unternehmen, die sich bisher nicht gemeldet haben, verschiebt sich damit die Ausgangslage. Nicht rechtlich, denn bußgeldbewehrt war das Versäumnis von Anfang an. Wohl aber praktisch: Die Wahrscheinlichkeit, dass eine fehlende Registrierung auffällt und Konsequenzen hat, steigt ab August deutlich.

Was die offiziellen Zahlen zeigen

Das BSI veröffentlicht seine Registrierungsstatistik quartalsweise. Der letzte publizierte Stand stammt vom 2. April 2026 und ist ernüchternd.

Im BSI-Portal hatten sich zu diesem Zeitpunkt 15.477 Unternehmen registriert. Davon entfielen 9.894 auf wichtige Einrichtungen und 5.583 auf besonders wichtige Einrichtungen, von letzteren wiederum 1.260 auf KRITIS-Betreiber. Rechnet man die 214 registrierten Nebenniederlassungen hinzu, ergeben sich 15.691 Registrierungen insgesamt.

Dem stehen rund 29.500 Einrichtungen gegenüber, die das BSI selbst als betroffen schätzt. Anders formuliert: Etwa 14.000 Unternehmen und Organisationen fehlten Anfang April noch. Auch wenn die Zahl seitdem gestiegen sein dürfte, ist eine vollständige Erfassung bis zum 31. Juli unrealistisch.

Nach Sektoren verteilt sich das Bild sehr ungleich. Aus Anlage 1 des BSIG stammen 9.257 Registrierungen, angeführt von Gesundheit mit 3.004, Energie mit 2.070 und digitaler Infrastruktur mit 2.044. Aus Anlage 2 kommen 6.903 Registrierungen, wobei das verarbeitende Gewerbe mit 3.509 den größten Block stellt, gefolgt von der Lebensmittelbranche mit 1.568. Auffällig niedrig sind Forschung mit 77 und Anbieter digitaler Dienste mit 105. Gerade in diesen Kategorien ist die Vermutung naheliegend, dass Betroffenheit schlicht nicht erkannt wurde.

Die Meldezahlen sind das eigentliche Warnsignal

Weniger beachtet, aber aussagekräftiger als die Registrierungsquote ist eine zweite Zahl aus derselben Statistik: 248 Erstmeldungen nach NIS2, 541 Meldungen insgesamt inklusive aller Folgemeldungen.

248 Erstmeldungen in knapp vier Monaten, verteilt auf über 15.000 registrierte Einrichtungen. Das entspricht rechnerisch etwa 1,6 Prozent der registrierten Organisationen. Wer die aktuelle Bedrohungslage kennt, weiß, dass in diesem Zeitraum sehr viel mehr erhebliche Sicherheitsvorfälle stattgefunden haben.

Die plausibelste Erklärung ist nicht, dass die registrierten Unternehmen besonders sicher sind. Sie lautet, dass die Meldekette in vielen Häusern schlicht nicht funktioniert. Es fehlt an klaren Kriterien, ab wann ein Vorfall als erheblich gilt, an definierten Verantwortlichkeiten außerhalb der Bürozeiten und an einem eingeübten Prozess, der innerhalb von 24 Stunden eine belastbare Erstmeldung produziert.

Das ist der Punkt, an dem Aufsichtsbehörden erfahrungsgemäß genauer hinsehen. Eine fehlende Registrierung ist ein Formfehler, der sich nachholen lässt. Ein nicht gemeldeter Vorfall, der später etwa über einen Kunden, einen Versicherer oder die Presse bekannt wird, ist eine andere Kategorie.

Was ab August konkret möglich ist

Das novellierte BSIG stattet das Bundesamt mit einem abgestuften Instrumentarium aus. Es reicht von Auskunftsverlangen und der Anordnung von Nachweisen über Sicherheitsüberprüfungen bis hin zu verbindlichen Anweisungen zur Beseitigung festgestellter Mängel. Für besonders wichtige Einrichtungen ist eine proaktive Aufsicht vorgesehen, für wichtige Einrichtungen ein anlassbezogenes Vorgehen.

Der Bußgeldrahmen orientiert sich an der Einstufung. Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent.

Praktisch relevanter als die Höchstbeträge ist allerdings die Adressierung der Geschäftsleitung. Das Gesetz verpflichtet Leitungsorgane persönlich dazu, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Diese Pflicht ist nicht delegierbar. Sie besteht unabhängig davon, ob im Unternehmen ein IT-Leiter, ein externer Dienstleister oder ein Informationssicherheitsbeauftragter die operative Arbeit übernimmt. Hinzu kommt eine Schulungspflicht für die Leitungsebene selbst.

Für viele Geschäftsführer im Mittelstand ist das die eigentliche Zäsur. Informationssicherheit war lange ein Thema, das man an die IT weitergeben konnte. Diese Option existiert unter dem neuen BSIG nicht mehr.

Registrierung ist der kleinste Teil der Aufgabe

Wer die Registrierung nachholt, sollte sich über eines im Klaren sein: Der Eintrag im BSI-Portal erzeugt keinerlei Compliance. Er macht das Unternehmen lediglich für die Aufsicht sichtbar.

Die materiellen Pflichten gelten seit dem 6. Dezember 2025 vollständig und ohne Übergangsfrist. Dazu gehören Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit in Beschaffung und Entwicklung, Verfahren zur Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografiekonzepte, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentisierung sowie gesicherte Kommunikationsverbindungen.

Realistisch betrachtet dauert der Aufbau eines belastbaren Managementsystems sechs bis zwölf Monate. Wer heute startet, erreicht einen prüffähigen Zustand also im Verlauf des ersten Halbjahres 2027. Diese Diskrepanz zwischen Rechtslage und Umsetzungsrealität ist der Normalfall und kein Sonderfall. Entscheidend ist deshalb weniger der aktuelle Reifegrad als die Frage, ob ein dokumentierter, priorisierter und nachvollziehbar abgearbeiteter Plan existiert.

Genau das ist erfahrungsgemäß auch die Perspektive der Aufsicht. Ein Unternehmen, das seine Lücken kennt, sie priorisiert hat und Fortschritt belegen kann, steht in einem Gespräch mit dem BSI deutlich besser da als eines, das auf jede Frage mit einer Suche im Dateiablagesystem reagiert.

Fünf Schritte für die kommenden Wochen

Betroffenheit rechtlich belastbar klären. Die Selbsteinschätzung über das BSI-Prüftool liefert eine erste Orientierung, ersetzt aber keine saubere Prüfung. Häufige Fehlerquellen sind Konzern- und Beteiligungsstrukturen, die Zurechnung von Mitarbeiterzahlen und Umsätzen verbundener Unternehmen sowie Tätigkeiten in mehreren Sektoren gleichzeitig. Wer zu dem Ergebnis kommt, nicht betroffen zu sein, sollte diese Bewertung schriftlich dokumentieren. Sie ist im Zweifel selbst ein Nachweis.

Registrierung nachholen, falls noch offen. Der Zugang läuft über das BSI-Portal und setzt ein ELSTER-Organisationszertifikat voraus. Die Beschaffung dauert erfahrungsgemäß einige Tage und ist der häufigste Grund für Verzögerungen. Wer den Prozess noch nicht angestoßen hat, sollte damit nicht bis zum Vorfall warten.

Meldekette funktionsfähig machen. Die Fristen sind eng: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung innerhalb eines Monats. Das lässt sich nur einhalten, wenn vorab geklärt ist, wer meldeberechtigt ist, wer im Urlaubs- oder Krankheitsfall vertritt, welche Kriterien einen Vorfall zum erheblichen Vorfall machen und welche Informationen die Erstmeldung mindestens enthalten muss. Ein Testlauf ohne Ernstfall kostet zwei Stunden und deckt zuverlässig die Lücken auf.

Geschäftsleitungspflichten dokumentieren. Die Billigung der Risikomanagementmaßnahmen sollte protokolliert werden, ebenso die absolvierte Schulung der Leitungsebene und die regelmäßige Befassung mit dem Sicherheitsstatus. Ein wiederkehrender Tagesordnungspunkt in der Geschäftsführungssitzung mit dokumentiertem Ergebnis erfüllt diesen Zweck bereits.

Lieferkette in den Blick nehmen. Die Anforderung wirkt in beide Richtungen. Nach innen bedeutet sie, kritische Dienstleister zu identifizieren und zu bewerten, insbesondere solche mit Zugriff auf Systeme oder vertrauliche Daten. Nach außen bedeutet sie, dass Kunden dieselben Nachweise anfordern werden. Wer die eigene Dokumentation aufbaut, sollte sie von vornherein so strukturieren, dass sie auch als Antwort auf einen Lieferantenfragebogen taugt.

Der nächste Stichtag steht schon

Die NIS2-Aufsicht ist nicht die einzige Baustelle, die sich in diesem Halbjahr schließt. Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act. Sie treffen jedes Unternehmen, das Produkte mit digitalen Elementen in Verkehr bringt, und sie gelten anders als die übrigen CRA-Pflichten sofort für das gesamte bestehende Portfolio. Wer Software entwickelt, vernetzte Geräte herstellt oder Maschinensteuerungen liefert, hat ab dann eine zweite Meldekette zu bedienen.

Der Aufwand potenziert sich dabei nicht zwangsläufig. Risikomanagement, Vorfallbehandlung, Schwachstellenmanagement und Nachweisführung sind in beiden Regelwerken weitgehend dieselben Bausteine, nur unterschiedlich benannt. Wer sie einmal sauber aufbaut und einer gemeinsamen Datenbasis zuordnet, bedient NIS2, den CRA und in weiten Teilen auch ISO 27001 mit demselben Grundgerüst.

Die Unternehmen, die in den vergangenen Monaten am weitesten gekommen sind, hatten selten das größte Budget. Sie hatten meist nur früh entschieden, nicht drei Projekte parallel zu starten, sondern eines, das mehrere Anforderungen gleichzeitig bedient.