NIS2-Registrierung beim BSI: Frist, Nachholung, Bußgeld — was § 33 BSIG verlangt

§ IWann endete die Frist für die NIS2-Registrierung beim BSI?

Für Unternehmen, die schon am 6. Dezember 2025 erfasst waren, endete die Registrierungsfrist Anfang März 2026. § 33 Abs. 1 BSIG verlangt die Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt oder Domain-Name-Registry-Dienste anbietet. Das neue BSI-Gesetz trat mit dem NIS-2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301) am 6. Dezember 2025 in Kraft, am Tag nach der Verkündung. Mit diesem Tag begann die Frist für den Bestand.

Auf den Tag genau ist das Fristende nicht einheitlich zu bestimmen. Zählt man den Tag des Inkrafttretens als ersten Tag der Frist mit (§ 187 Abs. 2, § 188 Abs. 2 BGB), endete sie mit Ablauf des 5. März 2026. Behandelt man das Inkrafttreten als Ereignis, das nicht mitzählt (§ 187 Abs. 1 BGB), endete sie mit Ablauf des 6. März 2026 (§ 188 Abs. 2 BGB). Für diesen Tag spricht, dass derselbe Gesetzgeber im NIS-2-Umsetzungsgesetz die parallelen Dreimonatsfristen selbst datiert hat: Energienetzbetreiber ohne Einrichtungsstatus müssen die Angaben nach § 33 Abs. 1 „spätestens bis zum Ablauf des 6. März 2026“ übermitteln (§ 5d Abs. 4 EnWG), und TLD-Registries und Domain-Name-Registry-Dienstleister mussten ihre Datenbank-Vorgaben „bis zum 6. März 2026“ veröffentlichen (§§ 49 Abs. 3, 50 Abs. 2 BSIG).

Die Dreimonatsfrist gilt nicht nur für den Bestand. Wer später erstmals oder erneut erfasst wird, etwa weil die Zahl der Beschäftigten 50 erreicht oder eine neue Tätigkeit einer Einrichtungsart der Anlage 1 oder 2 zuzuordnen ist, hat ab diesem Zeitpunkt eigene drei Monate. Nach der BSI-FAQ gilt über § 28 Abs. 4 BSIG auch die Regel der KMU-Empfehlung 2003/361/EG, nach der sich der Größenstatus erst ändert, wenn eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird. Wann die drei Monate dann beginnen, sagt die FAQ nicht; nach unserer Lesart laufen sie ab dem Bilanzstichtag des zweiten Geschäftsjahres, in dem die Schwelle überschritten wurde.

Ob die Pflicht überhaupt besteht, hängt an der Einstufung nach § 28 BSIG. Sie lässt sich mit dem Betroffenheitscheck vorab einordnen. Die rechtlichen Maßstäbe erläutert unser Beitrag zur Betroffenheitsprüfung nach § 28 BSIG.

§ IIGibt es eine Fristverlängerung oder eine amtliche Nachfrist?

Gesetzlich nicht: Das BSIG enthält keine Verlängerung der Registrierungsfrist. Die Übergangsregel des § 66 BSIG betrifft für die Registrierung § 33 Abs. 2 und 5 sowie die Begriffe in § 2 Nr. 22 und 24, nicht die Frist aus § 33 Abs. 1. Das BSI schreibt auf seiner Seite zu NIS-2-regulierten Unternehmen selbst: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“

Eine amtliche Nachfrist ist uns nicht bekannt (Stand 23.09.2026). Wer anderswo von einer Nachfrist liest, sollte prüfen, ob die Angabe aus einer Veröffentlichung des BSI stammt.

Entscheidend ist etwas anderes: Die Pflicht endet nicht mit dem Fristablauf. Die Übermittlung der Angaben nach § 33 Abs. 1 BSIG bleibt geschuldet. Der Bußgeldtatbestand erfasst ausdrücklich auch die nicht rechtzeitige Übermittlung (§ 65 Abs. 2 Nr. 6 BSIG). Wer nachholt, beendet den Zustand der fehlenden Registrierung. Die Verspätung selbst bleibt bestehen.

§ IIIWelche Angaben verlangt § 33 Abs. 1 BSIG?

Fünf Angaben: Name und Rechtsform, Anschrift und Kontaktdaten, Sektor oder Branche, die Mitgliedstaaten der Tätigkeit und die zuständigen Aufsichtsbehörden (§ 33 Abs. 1 Nr. 1 bis 5 BSIG).

Zwei Angaben machen in der Praxis die meiste Arbeit. Die öffentlichen IP-Adressbereiche (Nr. 2) kennt meist die IT-Abteilung oder der IT-Dienstleister; sie sollten vorliegen, bevor das Portal geöffnet wird. Die zuständigen Aufsichtsbehörden des Bundes und der Länder (Nr. 5) richten sich nach den Tätigkeiten, aufgrund derer die Registrierung erfolgt.

Beim Sektor (Nr. 3) liegt eine Falle. Anzugeben ist der Sektor oder die Branche nach Anlage 1 oder 2. Ob überhaupt eine Pflicht besteht, entscheidet aber nicht der Sektor, sondern die Einrichtungsart (§ 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3 BSIG). Eine reine Spedition gehört zwar zum Sektor Transport und Verkehr, ihre Tätigkeit ist dort aber keiner Einrichtungsart zuzuordnen (anders Kurierdienste, Anlage 2 Nr. 1). Die Einstufung gehört deshalb vor die Registrierung, nicht dahinter.

Bei den Mitgliedstaaten (Nr. 4) fragt das Gesetz nach den Staaten, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, nicht nach sämtlichen Geschäftsbeziehungen. Auch eine unrichtige oder unvollständige Übermittlung ist nach § 65 Abs. 2 Nr. 6 BSIG eine Ordnungswidrigkeit.

§ IVRegistrierung nachholen: So läuft der Weg über das BSI-Portal

Registriert wird seit dem 06.01.2026 über das BSI-Portal, und zwar in zwei Stufen: zuerst ein Zugang über „Mein Unternehmenskonto“ (MUK; nach der BSI-Seite zu NIS-2-regulierten Unternehmen mit einem ELSTER-Organisationszertifikat), danach die Registrierung im BSI-Portal selbst. Die Einzelheiten des Verfahrens legt das BSI im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest und macht sie auf seiner Internetseite bekannt (§ 33 Abs. 6 BSIG).

Eine verbreitete Fehlannahme betrifft den ersten Schritt: Ein angelegter Zugang ist noch keine Registrierung. § 33 Abs. 1 BSIG verlangt, dass die Angaben übermittelt werden; erst damit ist die Pflicht erfüllt. Wer im Frühjahr ein Unternehmenskonto eingerichtet und den Vorgang danach liegen gelassen hat, ist nicht registriert.

Ein angelegtes Unternehmenskonto ist keine Registrierung. Maßgeblich ist allein, ob die Angaben nach § 33 Abs. 1 BSIG übermittelt sind.

Theo Funk, Rechtsanwalt

Für das Nachholen empfiehlt sich eine feste Reihenfolge. Erstens die Einstufung nach § 28 BSIG klären und mit Datum festhalten. Zweitens die fünf Angaben zusammentragen und die IP-Adressbereiche beim IT-Dienstleister abfragen. Drittens den Zugang über „Mein Unternehmenskonto“ anlegen oder einen vorhandenen Zugang prüfen. Viertens im BSI-Portal registrieren und die Angaben vollständig übermitteln. Fünftens Zeitpunkt und Inhalt der Übermittlung für die Akte sichern. Sechstens intern festlegen, wer künftige Änderungen fristgerecht nachmeldet.

Der Zugang hat einen zweiten Nutzen. Das BSI-Portal nimmt seit dem 06.01.2026 auch Meldungen erheblicher Sicherheitsvorfälle entgegen; Betreiber kritischer Anlagen melden nach der BSI-FAQ derzeit vorrangig weiterhin über das Meldeportal MIP-2 (nach BSI-Angabe voraussichtlich bis Ende 2026). Die frühe Erstmeldung ist unverzüglich, spätestens 24 Stunden nach Kenntnis fällig (§ 32 Abs. 1 Satz 1 Nr. 1 BSIG). Wer erst im Vorfall klärt, wie der Zugang funktioniert, verliert Zeit, die diese Frist nicht hergibt.

§ VWas das BSI tun kann: Registrierung von Amts wegen und Auskunftsverlangen

Das BSI kann die Registrierung selbst vornehmen, wenn eine Einrichtung ihre Pflicht nicht erfüllt (§ 33 Abs. 3 BSIG). Voraussetzung ist das Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden.

Eine Registrierung durch das BSI ersetzt nach unserer Einschätzung die eigene Pflichterfüllung nicht. Sie setzt gerade voraus, dass die Pflicht nicht erfüllt wurde. Wer registriert wird, statt sich zu registrieren, hat außerdem die Angaben nicht selbst in der Hand.

Daneben kann das BSI Unterlagen verlangen. Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Registrierungspflicht nicht erfüllt, muss sie dem BSI auf Verlangen die erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen vorlegen und Auskunft erteilen (§ 33 Abs. 4 BSIG). Als Grenzen nennt das Gesetz nur Geheimschutzinteressen und überwiegende Sicherheitsinteressen. Ein solches Verlangen kann auch Unternehmen treffen, die sich für nicht erfasst halten. Welche Unterlagen erforderlich sind, bestimmt das BSI; wer die Frage geprüft hat, kann einen datierten Einstufungsvermerk vorlegen.

Zum 30.06.2026 zählte das BSI 17.945 Registrierungen, darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen; 4.095 Registrierungen nannten als Sektor der Anlage 2 das verarbeitende Gewerbe (Mehrfachnennungen je Sektor sind möglich). Im November 2025 hatte das BSI rund 29.500 Einrichtungen geschätzt (Pressemitteilung vom 13.11.2025). Die nächste Aktualisierung der Zahlen erfolgt voraussichtlich zum 31.10.2026.

§ VIWelches Bußgeld droht bei verspäteter Registrierung?

Die Geldbuße für eine verspätete Registrierung reicht bis 500.000 € (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG). Ordnungswidrig handelt, wer entgegen § 33 Abs. 1 eine Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. Vorsatz ist nicht erforderlich, Fahrlässigkeit genügt.

Der Rahmen hängt nicht vom Umsatz ab. Die Bußgeldrahmen von 10 Mio. € für besonders wichtige und 7 Mio. € für wichtige Einrichtungen betreffen vor allem Risikomanagement, Dokumentation und Meldungen (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG). Die Prozentgrenzen von 2 % und 1,4 % greifen nur bei mehr als 500 Mio. € weltweitem Gesamtumsatz des Unternehmens, dem die Einrichtung angehört (§ 65 Abs. 6 bis 8). Für die Registrierung gilt beides nicht.

Bei Fahrlässigkeit halbiert sich das Höchstmaß. § 65 Abs. 9 BSIG schließt die Halbierung nach § 17 Abs. 2 OWiG nur für die Fälle des § 65 Abs. 5 Satz 1 Nr. 1 und der Absätze 6 und 7 aus, nicht für die Registrierung. Für eine fahrlässig versäumte Registrierung liegt das Höchstmaß deshalb bei 250.000 €; einen wirtschaftlichen Vorteil aus der Tat kann die Geldbuße nach § 17 Abs. 4 OWiG auch darüber hinaus abschöpfen. Ob überhaupt geahndet wird, liegt im Verfolgungsermessen des BSI (Opportunitätsprinzip, § 47 Abs. 1 OWiG). Zuständige Verwaltungsbehörde ist das BSI (§ 65 Abs. 10 Nr. 2).

Veröffentlichte Bußgeldentscheidungen des BSI sind uns bis zum 23.09.2026 nicht bekannt. Nach unserer Einschätzung macht es für die Bemessung einen Unterschied, ob ein Unternehmen von sich aus nachholt oder erst reagiert, nachdem das BSI Unterlagen verlangt oder selbst registriert hat. § 38 BSIG, die Pflichtnorm der Geschäftsleitung, ist kein Bußgeldtatbestand und betrifft die Maßnahmen nach § 30, nicht die Registrierung. Ob die Geschäftsleitung für eine versäumte Registrierung einzustehen hat, richtet sich nach allgemeinem Ordnungswidrigkeiten- und Gesellschaftsrecht. Was sie verlangt, behandelt unser Beitrag zur Geschäftsführerhaftung nach § 38 BSIG.

§ VIINach der Registrierung: Änderungen binnen zwei Wochen nachmelden

Ändern sich registrierte Angaben, sind die Änderungen dem BSI unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln (§ 33 Abs. 5 BSIG). Das betrifft jede Angabe nach Absatz 1, etwa nach einer Umfirmierung, einem Umzug, neuen Kontaktdaten, geänderten IP-Adressbereichen oder einer Tätigkeit in weiteren Mitgliedstaaten.

Eine Besonderheit ergibt sich aus § 66 BSIG. Bis die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz in Kraft ist, gilt § 33 Abs. 5 in der bis einschließlich 28. Juli 2026 geltenden Fassung weiter. Auch diese Fassung verlangt für die Angaben nach Absatz 1 die Übermittlung unverzüglich, spätestens binnen zwei Wochen ab Kenntnis; nur geänderte Versorgungskennzahlen und Typen kritischer Komponenten der Betreiber kritischer Anlagen sind danach einmal jährlich zu übermitteln.

Die Nachmeldung nach § 33 Abs. 5 ist nicht eigens bußgeldbewehrt. § 65 Abs. 2 Nr. 6 BSIG nennt die Registrierung nach § 33 Abs. 1, nicht die Änderungsmeldung. Eine Pflicht bleibt sie trotzdem, und § 33 Abs. 1 Nr. 2 verlangt „aktuelle“ Kontaktdaten; ob veraltete Angaben nachträglich als nicht richtige Übermittlung nach § 65 Abs. 2 Nr. 6 geahndet werden können, ist offen, weil die Vorschrift nur § 33 Abs. 1 und Abs. 2 Satz 1 nennt, nicht die Änderungspflicht des Abs. 5 (§ 3 OWiG). Praktisch führen sie dazu, dass Mitteilungen des BSI die zuständigen Personen nicht erreichen. Anders liegt es bei den Einrichtungsarten des § 34 BSIG: Dort ist die unterlassene oder verspätete Änderungsmitteilung mit einer Geldbuße bis 500.000 € bedroht (§ 65 Abs. 2 Nr. 8, Abs. 5 Satz 1 Nr. 5).

Eine ausdrückliche Abmeldung sieht § 33 BSIG nicht vor, etwa wenn eine erfasste Tätigkeit aufgegeben wird. Ob und wie das mitzuteilen ist, folgt materiell aus § 33 Abs. 5 (Änderung der übermittelten Angaben); die Verfahrensfestlegungen des BSI (§ 33 Abs. 6) regeln nur die Ausgestaltung. Die Gründe sollten mit Datum dokumentiert werden.

§ VIIISonderfälle: digitale Dienste, Domain-Registrare, kritische Anlagen

Für die digitalen Einrichtungsarten des § 60 Abs. 1 Satz 1 BSIG gilt zusätzlich die besondere Registrierungspflicht des § 34 BSIG. Dazu gehören etwa DNS-Diensteanbieter, Domain-Registrare, Cloud- und Rechenzentrumsanbieter, Managed (Security) Service Provider und Online-Marktplätze. Anzugeben sind dort unter anderem Sektor, Branche und Einrichtungsart, die Hauptniederlassung und die sonstigen Niederlassungen in der EU sowie die öffentlichen IP-Adressbereiche. Änderungen dieser Angaben sind unverzüglich, spätestens drei Monate nach ihrem Eintritt mitzuteilen (§ 34 Abs. 2); für die Angaben nach § 33 Abs. 1 bleibt es bei zwei Wochen.

Allein als Domain-Name-Registry-Dienstleister sind Registrare keine Einrichtungen im Sinne des § 28 BSIG (weitere Tätigkeiten können § 28 auslösen). Registrieren müssen sie sich trotzdem, unabhängig von ihrer Größe (§ 33 Abs. 1, § 34). Dazu zählen Registrare und Stellen, die in ihrem Namen tätig sind, insbesondere Anbieter oder Wiederverkäufer von Datenschutz- oder Proxy-Registrierungsdiensten (§ 2 Nr. 9 BSIG). Die drei Monate knüpfen an das Angebot der Dienste an. Hinzu kommen die Pflichten zur Registrierungsdatenbank nach §§ 49 und 50 BSIG. Wer autoritative DNS-Dienste für Dritte anbietet, ist zusätzlich DNS-Diensteanbieter und damit ohne Größenschwelle besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 2).

Für Betreiber kritischer Anlagen verweist § 33 Abs. 2 BSIG auf § 8 des KRITIS-Dachgesetzes. Anzuwenden ist dieser Verweis aber erst, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz in Kraft ist (§ 66 BSIG); nach unserem Kenntnisstand (23.09.2026) ist sie das nicht. Bis dahin gilt § 33 Abs. 2 in der bis einschließlich 16. März 2026 geltenden Fassung fort. Nach dieser Fassung übermitteln Betreiber mit den Angaben nach Absatz 1 zusätzlich unter anderem die kritische Dienstleistung, die Typen kritischer Komponenten, Anlagenkategorie, Versorgungskennzahlen, Standort und eine Kontaktstelle, über die sie jederzeit erreichbar sein müssen.

Die Ausnahmen des § 28 Abs. 5 und 6 BSIG lassen die Registrierung unberührt. Für Anbieter öffentlicher Telekommunikation, für Energienetz- und Energieanlagenbetreiber unter den §§ 5c bis 5e EnWG und für Finanzunternehmen unter DORA schließen diese Absätze zahlreiche Pflichten aus, § 33 aber nicht.