Die erste Frist zur NIS-2-Registrierung läuft ab. Diejenigen, die mit Gesetzeseinführung unter die neuen Vorgaben der europäischen NIS-2-Richtlinie bzw. des in Deutschland geltenden BSIG fallen, müssen sich spätestens heute (6. März 2026) über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit registrieren. Andernfalls drohen empfindliche Bußgelder.
Viele Organisationen sollten, sofern bis heute noch nicht geschehen, daher noch kurzfristig prüfen, ob sie vom Anwendungsbereich betroffen sind.
Die Registrierung muss spätestens innerhalb von drei Monaten erfolgen, nachdem eine Einrichtung erstmals oder erneut unter den Anwendungsbereich des Gesetzes fällt oder entsprechende Dienste anbietet. Da die neuen Vorschriften im BSIG am 5. Dezember 2025 in Kraft getreten sind, endet die Frist für bereits zum Zeitpunkt des Inkrafttretens betroffene Unternehmen am 6. März 2026. Innerhalb dieser Frist müssen die betroffenen Einrichtungen die erforderlichen Angaben über die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Registrierungsplattform übermitteln.
Im Rahmen der Registrierung sind verschiedene Informationen bereitzustellen. Dazu gehören insbesondere der Name der Einrichtung einschließlich Rechtsform und gegebenenfalls Handelsregisternummer, die Anschrift sowie aktuelle Kontaktdaten wie E-Mail-Adresse und Telefonnummer. Darüber hinaus müssen öffentliche IP-Adressbereiche, der relevante Sektor beziehungsweise die Branche nach Anlage 1 oder 2 des Gesetzes sowie die Mitgliedstaaten der Europäischen Union, in denen entsprechende Dienste erbracht werden, angegeben werden. Zudem sind die für die jeweiligen Tätigkeiten zuständigen Aufsichtsbehörden des Bundes und der Länder zu benennen.
Für Betreiber kritischer Anlagen gelten darüber hinaus weitergehende Pflichten. Diese müssen unter anderem die von ihnen erbrachte kritische Dienstleistung, die Typen der eingesetzten kritischen Komponenten, die öffentlichen IP-Adressbereiche der betriebenen Anlagen sowie die Anlagenkategorie und Versorgungskennzahlen mitteilen. Zusätzlich ist der Standort der Anlagen sowie eine Kontaktstelle zu benennen, über die der Betreiber jederzeit erreichbar sein muss.
Die Registrierungspflicht beschränkt sich jedoch nicht auf eine einmalige Meldung. Änderungen der übermittelten Angaben müssen ebenfalls an das Bundesamt gemeldet werden. Dabei gilt, dass Versorgungskennzahlen und Angaben zu kritischen Komponenten jährlich zu aktualisieren sind. Alle übrigen Änderungen sind unverzüglich, spätestens jedoch innerhalb von zwei Wochen nach Kenntniserlangung, zu übermitteln.
Die Pflicht zur Registrierung ist bußgeldbewehrt. Nach § 65 Abs. 2 Nr. 6 BSIG handelt ordnungswidrig, wer vorsätzlich oder fahrlässig die erforderlichen Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. Eine vollständig unterlassene Registrierung kann daher eine Ordnungswidrigkeit darstellen.
Sollte die Registrierungsfrist versäumt worden sein, bedeutet dies jedoch nicht, dass keine Handlungsmöglichkeiten mehr bestehen. In einem solchen Fall sollte die Registrierung unverzüglich nachgeholt werden. Denn grundsätzlich gilt: Je länger eine bestehende Registrierungspflicht unerfüllt bleibt, desto höher kann das Risiko eines Bußgeldes ausfallen.
Wenn die maßgeblichen Schwellenwerte erst nach Inkrafttreten des Gesetzes erreicht werden, beginnt die Frist erst ab diesem Zeitpunkt. Auch in diesen Fällen gilt eine Registrierungsfrist von drei Monaten ab dem Zeitpunkt, zu dem die Voraussetzungen erfüllt sind.
Entscheidend ist daher immer die Frage, ob der Anwendungsbereich des Gesetzes eröffnet ist. Maßgeblich ist hierbei insbesondere die Einordnung als besonders wichtige Einrichtung oder wichtige Einrichtung, die sich aus § 28 BSIG sowie den dort genannten Sektoren und Schwellenwerten ergibt. Unternehmen sollten daher frühzeitig prüfen, ob sie von den Regelungen betroffen sind und gegebenenfalls rechtzeitig die erforderlichen Maßnahmen zur Registrierung ergreifen.
Betreiber kritischer Anlagen gelten kraft Gesetzes als besonders wichtige Einrichtungen, sofern sie die maßgeblichen Schwellenwerte nach der BSI-Kritisverordnung (BSI-KritisV) erreichen. Darüber hinaus gelten natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft als besonders wichtige Einrichtungen, wenn sie in einem der in Anlage 1 BSIG genannten Sektoren tätig sind und mindestens 250 Mitarbeitende beschäftigen oder einen Jahresumsatz von mehr als 50 Mio. € und eine Bilanzsumme von mehr als 43 Mio. € aufweisen.
Wichtige Einrichtungen sind natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die in den in Anlage 1 oder 2 BSIG genannten Sektoren tätig sind und mindestens 50 Mitarbeitende beschäftigen sowie einen Jahresumsatz und eine Bilanzsumme von jeweils mehr als 10 Mio. € erreichen.
Neben Betreibern klassischer kritischer Infrastrukturen werden damit auch zahlreiche weitere Organisationen aus sicherheitsrelevanten Wirtschaftssektoren erfasst, etwa Unternehmen aus den Bereichen Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzwesen sowie Teilen der Industrie und Forschung..
Wenn Sie Unterstützung bei der Prüfung der Betroffenheit oder der Umsetzung der neuen Vorgaben benötigen, beraten wir Sie gerne.
Ansprechpartner: RA Dr. Stefan Bischoff & RA Markus Heinrich
