NIS2 Registrierung beim BSI — Schritt-für-Schritt-Anleitung für Unternehmen

NIS2 Registrierung beim BSI — Schritt-für-Schritt Anleitung

Letzte Aktualisierung: 25. März 2026

Die NIS2 Registrierung BSI ist für betroffene Unternehmen in Deutschland nach § 33 BSIG verpflichtend und muss spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit erfolgen. Seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 bedeutete das für viele Unternehmen praktisch den 6. März 2026. Wer die Frist versäumt, hat kein bloß formales Problem, sondern verletzt eine gesetzliche Kernpflicht im Aufsichtsregime des BSI.

Die belastbare Kurzantwort zum Keyword NIS2 Registrierung BSI lautet deshalb: Prüfen Sie zuerst, ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, richten Sie anschließend den Zugang über Mein Unternehmenskonto mit ELSTER-Organisationszertifikat ein und registrieren Sie sich dann im BSI-Portal unter https://portal.bsi.bund.de. Wenn Sie Ihre Betroffenheit noch nicht sauber eingeordnet haben, sollten Sie parallel den NIS2-Hub für Deutschland, den NIS2-Betroffenheitscheck, den Beitrag zu NIS2-Zulieferern unter Schwellenwert und das Glossar nutzen.

Dieser Leitfaden erklärt, wer sich registrieren muss, welche Fristen gelten, welche Daten das BSI verlangt, wie die Registrierung Schritt für Schritt abläuft und welche Fehler Unternehmen typischerweise machen. Die Rechtsgrundlage ist auf deutscher Seite vor allem § 33 BSIG, europäisch der Rahmen der Richtlinie (EU) 2022/2555 mit den Sektoren aus den Anhängen I und II sowie den Meldepflichten nach Art. 23 NIS2.

Wer muss sich beim BSI registrieren?

Registrierungspflichtig sind nach § 33 Abs. 1 BSIG besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Diensteanbieter. Für die Praxis heißt das: Nicht jedes Unternehmen in Deutschland muss sich registrieren, aber deutlich mehr Unternehmen als im früheren KRITIS-Regime. Das BSI rechnet seit der NIS2-Umsetzung mit rund 29.500 regulierten Einrichtungen.

Die Grundlogik folgt der NIS2-Richtlinie. Erfasst werden Einrichtungen aus 18 Sektoren der Anhänge I und II der Richtlinie (EU) 2022/2555. Dazu gehören insbesondere:

Der erste Größenfilter liegt typischerweise bei der KMU-Schwelle von mindestens 50 Beschäftigten oder 10 Mio. EUR Jahresumsatz. Dieser Schwellenwert ist für viele Mittelständler der operative Ausgangspunkt. Er bedeutet aber nicht, dass jede Einrichtung oberhalb dieser Schwelle automatisch gleich eingeordnet wird. Die genaue Zuordnung hängt zusätzlich von Sektor, Teilsektor, konkreter Tätigkeit und in einzelnen Fällen von Sonderregeln ab.

Für die Management-Praxis ist deshalb ein Satz wichtig: NIS2-Betroffenheit ist eine Rechts- und Strukturfrage, keine Bauchentscheidung. Wer nur auf die Mitarbeiterzahl schaut, prüft unvollständig. Wer nur auf den Sektor schaut, ebenfalls. Richtig ist die Kombination aus:

1. Sektor oder Branche nach Anhang I oder II der Richtlinie (EU) 2022/2555.
2. Unternehmensgröße nach der relevanten Schwelle.
3. Tatsächliche Tätigkeit und Rolle der Einrichtung.
4. Mögliche Sondertatbestände oder sektorspezifische Einordnungen.

Wenn Sie unterhalb der Schwelle liegen, aber unsicher sind, ob Sie mittelbar über Kunden- oder Lieferkettenanforderungen betroffen sind, ist der Fachbeitrag zu NIS2-Zulieferern unter Schwellenwert eine sinnvolle Ergänzung. Für die rechtliche Grundlinie lohnt sich außerdem die Übersichtsseite NIS2 für Unternehmen.

NIS2 Frist Registrierung: Wann greift die Pflicht?

Die zentrale Frist steht direkt in § 33 Abs. 1 BSIG: Die Registrierung muss spätestens drei Monate erfolgen, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Die Norm knüpft also nicht an ein freiwilliges Projektfenster an, sondern an den Zeitpunkt der Betroffenheit.

Für die erste Umsetzungsphase in Deutschland ist das Datum klar: Das NIS2UmsuCG trat am 6. Dezember 2025 in Kraft. Für die Unternehmen, die mit diesem Inkrafttreten erstmals unter die Registrierungspflicht fielen, ergab sich daraus praktisch die Frist 6. März 2026. Dieses Datum ist im Frühjahr 2026 bereits verstrichen. Wer sich bis dahin nicht registriert hat, ist nicht „zu spät dran mit der Vorbereitung“, sondern bereits außerhalb der regulären Frist.

Die Fristlogik bleibt aber auch nach diesem ersten Stichtag relevant. Sie greift weiterhin:

• wenn ein Unternehmen erstmals die Schwelle überschreitet,
• wenn sich die Tätigkeit so ändert, dass ein erfasster Sektor einschlägig wird,
• wenn eine Reorganisation oder Konzernanpassung zu neuer Betroffenheit führt,
• wenn eine Einrichtung nach Unterbrechung erneut unter die Registrierungspflicht fällt.

Die verkürzte Merkhilfe lautet:

Viele Unternehmen fragen, ob es eine „stille Übergangsfrist“ gibt, solange die Einordnung schwierig ist. Die belastbare Antwort lautet: Nein. Die Rechtslage kennt die Dreimonatsfrist. Unsicherheit in der eigenen Organisation ersetzt die Frist nicht. Genau deshalb ist eine frühe Betroffenheitsprüfung wichtiger als die spätere Portalbedienung.

NIS2 Registrierungspflicht nach § 33 BSIG einfach erklärt

§ 33 BSIG ist die zentrale deutsche Registrierungsnorm für NIS2-betroffene Einrichtungen. Die Vorschrift verlangt nicht nur irgendeine Meldung an das BSI, sondern eine formale Registrierung über eine vom BSI eingerichtete Registrierungsmöglichkeit. Praktisch läuft diese Registrierung über das BSI-Portal.

Der Kern von § 33 BSIG lässt sich in drei Aussagen übersetzen:

1. Bestimmte Einrichtungen müssen sich registrieren.
2. Die Registrierung hat fristgebunden zu erfolgen.
3. Bestimmte Mindestangaben müssen an das BSI übermittelt werden.

Diese Mindestangaben sind für Unternehmen wichtiger als oft angenommen, weil sie schon zeigen, worauf das BSI regulatorisch schaut. Nach § 33 Abs. 1 BSIG gehören dazu insbesondere:

• Name der Einrichtung einschließlich Rechtsform und gegebenenfalls Handelsregisternummer,
• Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern,
• relevanter Sektor oder gegebenenfalls Branche,
• Auflistung der EU-Mitgliedstaaten, in denen die Einrichtung relevante Dienste erbringt,
• zuständige Aufsichtsbehörden des Bundes und der Länder.

Für den Alltag ist außerdem § 33 Abs. 5 BSIG entscheidend. Dort steht sinngemäß, dass Änderungen der registrierten Angaben grundsätzlich unverzüglich, spätestens aber binnen zwei Wochen nach Kenntnis der Änderung zu melden sind. Die Registrierung ist also kein einmaliger Haken im Projektplan, sondern ein fortlaufend zu pflegender Stammdatensatz.

Welche Unternehmen sind besonders wichtige oder wichtige Einrichtungen?

Eine besonders wichtige Einrichtung ist im deutschen NIS2-Regime regelmäßig eine Einrichtung aus besonders sensiblen Sektoren mit höherer Kritikalität oder besonderem regulatorischem Gewicht. Eine wichtige Einrichtung ist ebenfalls reguliert, liegt aber typischerweise im zweiten Aufsichtsniveau. Beide Kategorien unterliegen Registrierungs- und Meldepflichten, unterscheiden sich aber in Aufsichtsdichte und Sanktionsrahmen.

Für die Praxis ist die Einordnung oft an drei Fragen festzumachen:

1. In welchem Sektor erbringen Sie Ihre Leistungen?
2. Wie groß ist Ihr Unternehmen?
3. Ist Ihre konkrete Tätigkeit dem strengen oder dem zweiten Aufsichtsregime zugeordnet?

Gerade Mittelständler unterschätzen die Tragweite. Viele Unternehmen waren nie klassische KRITIS-Betreiber und gehen deshalb irrtümlich davon aus, außerhalb des Regimes zu liegen. Unter NIS2 ist das oft falsch. Besonders in den Bereichen digitale Infrastruktur, Gesundheitswesen, industrielle Fertigung kritischer Güter, Forschung und digitale Dienste ist die Zahl der potenziell betroffenen Unternehmen deutlich gestiegen.

Die sicherste Reihenfolge lautet deshalb:

1. Nutzen Sie den NIS2-Betroffenheitscheck als erste Orientierung.
2. Prüfen Sie Ihren Sektor gegen den NIS2-Hub für Deutschland.
3. Dokumentieren Sie Mitarbeiterzahl, Umsatz, Bilanzsumme und die konkret betroffene Tätigkeit.
4. Entscheiden Sie erst danach über Registrierung, interne Zuständigkeiten und Folgepflichten.

Schritt-für-Schritt-Anleitung zur NIS2 Registrierung im BSI-Portal

Die NIS2 Registrierung BSI erfolgt praktisch in zwei Ebenen: erst der Zugang über Mein Unternehmenskonto (MUK) mit ELSTER-Organisationszertifikat, dann die eigentliche Fachregistrierung im BSI-Portal. Das BSI beschreibt diesen Ablauf auf der Seite „NIS-2 – was tun?“ sowie in den FAQ zum BSI-Portal.

Schritt 1: Betroffenheit vor der Portalregistrierung prüfen

Prüfen Sie zuerst, ob Ihr Unternehmen überhaupt registrierungspflichtig ist. Das ist kein optionaler Vor-Schritt, sondern die Grundlage für alle weiteren Angaben. Falsche Selbsteinordnungen führen später fast immer zu fehlerhaften Sektorangaben oder unvollständigen Registrierungen.

Sinnvoll ist diese Reihenfolge:

1. Betroffenheitsprüfung mit dem BSI-Tool starten.
2. Sektor und Teilsektor festhalten.
3. Größenkriterien dokumentieren.
4. Interne Verantwortliche für Registrierung und spätere Meldungen benennen.

Schritt 2: Zugang über Mein Unternehmenskonto und ELSTER einrichten

Richten Sie anschließend den Zugang über Mein Unternehmenskonto ein. Nach den BSI-Portal-FAQ benötigen Sie für die Anmeldung im BSI-Portal ein ELSTER-Organisationszertifikat. Ohne diese Authentifizierung kommen Sie nicht in den Registrierungsprozess.

Wichtig sind dabei drei Punkte:

• Das BSI-Portal nutzt MUK auf ELSTER-Basis.
• Das ELSTER-Organisationszertifikat ist bei jedem Login erforderlich.
• Je nach Organisation sollten mehrere berechtigte Personen mit sauberer Rollenverteilung eingeplant werden.

Praktisch ist dieser Schritt oft der langsamste, weil Steuerdaten, Verantwortlichkeiten und Zertifikatsverwaltung intern abgestimmt werden müssen. Wer die Registrierung kurzfristig vor Fristende angeht, verliert hier wertvolle Zeit.

Schritt 3: BSI-Portal unter portal.bsi.bund.de aufrufen

Rufen Sie danach das BSI-Portal unter https://portal.bsi.bund.de auf und melden Sie sich über die ELSTER-basierte Authentifizierung an. Das BSI beschreibt das Portal als zentrale Plattform für Registrierung, Vorfallmeldungen und weitere Behördenkommunikation.

Für NIS2 gilt nach den BSI-Hinweisen ausdrücklich: Die Registrierung erfolgt über das BSI-Portal und nicht über MIP2. Übergangsregeln für KRITIS-Betreiber und Bundesbehörden betreffen vor allem bestimmte Meldewege, nicht die grundsätzliche neue Registrierungslogik für NIS2-betroffene Einrichtungen.

Schritt 4: Fachverfahren auswählen und Einrichtung registrieren

Wählen Sie im Portal das passende Fachverfahren aus und starten Sie die Registrierung Ihrer Einrichtung. Nach den BSI-Portal-FAQ erhält der erste registrierende Nutzer nach erfolgreicher Registrierung typischerweise die Rolle des Owner. Diese Person hat damit nicht nur einen technischen Zugang, sondern organisatorische Bedeutung für die spätere Portalverwaltung.

Hier entscheidet sich oft, ob die Registrierung dauerhaft tragfähig ist. Unternehmen sollten deshalb nicht reflexhaft irgendeine Assistenzadresse oder einen Einzelmitarbeiter ohne Verantwortungsnähe eintragen. Besser ist eine belastbare Funktionszuordnung.

Schritt 5: Unternehmensdaten vollständig eintragen

Tragen Sie anschließend die Pflichtdaten vollständig und konsistent ein. Das betrifft nicht nur Stammdaten, sondern die gesamte aufsichtsrelevante Einordnung Ihrer Einrichtung.

Typische Eingabefelder sind:

• Firmenname,
• Rechtsform,
• gegebenenfalls Handelsregisternummer,
• Anschrift,
• E-Mail-Adresse,
• Telefonnummern,
• öffentliche IP-Adressbereiche,
• Sektor und gegebenenfalls Teilsektor,
• Mitgliedstaaten mit relevanter Leistungserbringung,
• zuständige Aufsichtsbehörden,
• Ansprechpartner und portalbezogene Rollen.

Schritt 6: Kontaktstelle sauber benennen

Benennen Sie eine erreichbare und fachlich geeignete Kontaktstelle. Auch wenn § 33 BSIG die Formulierung „Kontaktstelle“ nicht als eigenes Schlagwort ausbuchstabiert, verlangt die Praxis des Portals belastbare Ansprechpartner. Das ist später für Vorfallmeldungen und BSI-Kommunikation entscheidend.

Eine gute Kontaktstelle sollte:

1. organisatorisch verankert sein,
2. innerhalb von Vorfallfristen erreichbar sein,
3. Cyber-, Compliance- und Managementthemen koordinieren können,
4. Änderungen an Stammdaten und Rollen verlässlich nachziehen können.

Schritt 7: Registrierung absenden und Bestätigung dokumentieren

Senden Sie die Registrierung ab und dokumentieren Sie den Abschluss intern. Unternehmen sollten den Registrierungszeitpunkt, die hinterlegten Rollen, die verwendeten Datenquellen und die Benennung der Ansprechpartner revisionsfest festhalten. Das spart später Zeit bei Änderungen, Audits, Vorfallmeldungen und internen Nachfragen der Geschäftsleitung.

Welche Daten werden für die NIS2 Registrierung beim BSI benötigt?

Die Pflichtangaben ergeben sich im Kern aus § 33 BSIG, werden im Portal aber organisatorisch konkretisiert. Wer die Daten vor dem Login vorbereitet, spart im Registrierungsprozess Zeit und reduziert Fehler.

Die folgende Übersicht ist für die Praxis am hilfreichsten:

Besonders fehleranfällig sind drei Datenblöcke.

Erstens werden Sektor und Teilsektor oft zu grob oder zu vertrieblich beschrieben. NIS2 fragt aber nicht nach Marketing-Selbstbild, sondern nach der regulatorisch relevanten Tätigkeit.

Zweitens werden öffentliche IP-Adressbereiche häufig unvollständig oder gar nicht vorbereitet. Gerade bei komplexeren IT-Landschaften mit Tochtergesellschaften, Cloud-Ressourcen oder ausgelagerten Diensten führt das zu Rückfragen.

Drittens wird die Kontaktstelle oft zu schwach besetzt. Eine zentrale Mailbox ohne Verantwortlichkeit genügt organisatorisch selten, wenn später erhebliche Sicherheitsvorfälle oder Datenänderungen fristgebunden zu bearbeiten sind.

Häufige Fehler bei der BSI NIS2 Registrierung

Die häufigsten Fehler sind nicht technisch, sondern organisatorisch. Unternehmen scheitern seltener an der Portalmaske als an unklaren Zuständigkeiten, fehlerhafter Betroffenheitsprüfung und schlechter Datenvorbereitung.

Fehler 1: Falscher Sektor oder falscher Teilsektor

Der gravierendste Fehler ist die falsche Einordnung des eigenen Unternehmens. Wenn der Sektor nicht stimmt, sind praktisch alle Folgeangaben angreifbar. Besonders häufig passiert das bei Mischunternehmen, Holding-Strukturen oder Gruppen mit mehreren Geschäftsbereichen.

Fehler 2: Registrierung erst kurz vor Fristende beginnen

Die Registrierung scheitert oft nicht an § 33 BSIG, sondern an der Vorstufe MUK/ELSTER. Wer erst kurz vor Fristende startet, riskiert Engpässe bei Zugangsverwaltung, interner Freigabe und Datenaufbereitung.

Fehler 3: Kontaktstelle ohne echte Zuständigkeit

Eine Kontaktstelle ist nur dann sinnvoll, wenn sie handlungsfähig ist. Eine Person ohne Security-, Compliance- oder Krisenbezug kann Anfragen des BSI später oft nicht belastbar beantworten.

Fehler 4: Änderungen nach der Registrierung nicht nachpflegen

Viele Unternehmen behandeln die Registrierung als erledigt, obwohl § 33 Abs. 5 BSIG laufende Aktualisierungspflichten enthält. Änderungen müssen grundsätzlich unverzüglich, spätestens binnen zwei Wochen nach Kenntnis, gemeldet werden.

Fehler 5: Konzern- und Standortstruktur falsch abbilden

Gerade Unternehmensgruppen tragen mitunter nur die Holding oder nur einen Standort ein, obwohl die relevante Leistungserbringung anders verteilt ist. Das kann später sowohl bei Vorfällen als auch bei Aufsichtsfragen zu Problemen führen.

Was passiert nach der Registrierung beim BSI?

Nach der Registrierung beginnt der eigentliche NIS2-Alltag. Die Eintragung im Portal ist nicht das Ende der Pflichten, sondern der Startpunkt für die laufende Behörden- und Compliance-Kommunikation.

Die wichtigsten Folgepflichten sind:

1. Meldepflichten bei erheblichen Sicherheitsvorfällen nach dem NIS2-Regime und den nationalen Umsetzungsregeln.
2. Pflege der Registrierungsdaten bei Änderungen.
3. Risikomanagementmaßnahmen und organisatorische Nachweisfähigkeit.
4. Kommunikationsfähigkeit gegenüber dem BSI im Vorfall- und Aufsichtskontext.
5. Management-Einbindung und Schulung für die relevanten Rollen.

Für erhebliche Sicherheitsvorfälle ist vor allem Art. 23 der Richtlinie (EU) 2022/2555 zentral. Dort ist die gestufte Vorfallmeldung angelegt, die in Deutschland operativ über das BSI relevant wird. Unternehmen müssen also nicht nur registriert sein, sondern auch innerhalb enger Fristen kommunikationsfähig bleiben.

Ebenso wichtig ist der Aufsichtskontext. Eine ordnungsgemäße Registrierung macht Ihr Unternehmen für das BSI als regulierte Einrichtung sichtbar. Das ist kein Nachteil, sondern eine zwingende Folge eines aufsichtsrechtlichen Regimes. Problematisch wird es erst, wenn Registrierung, Ansprechpartner, Meldewege und Risikomanagement nicht zusammenpassen.

Wer nach der Registrierung die nächsten Schritte strukturieren will, sollte zusätzlich die Seiten NIS2-Compliance, NIS2 für Unternehmen und den Glossarbegriff Meldepflicht einbeziehen.

FAQ zur NIS2 Registrierung beim BSI

Kostet die Registrierung beim BSI Gebühren?

Die Registrierung selbst ist nach den derzeitigen BSI-Informationen kein klassisches Gebührenverfahren mit allgemeiner Standardgebühr. Kosten entstehen in der Praxis vor allem intern: für Betroffenheitsprüfung, Datenaufbereitung, Zuständigkeiten, Rechtsprüfung und den Aufbau des Zugangs über MUK und ELSTER.

Wie lange dauert die NIS2 Registrierung?

Die reine Eingabe im Portal ist meist nicht der aufwendigste Teil. Zeitkritisch sind vielmehr die Vorarbeiten: Einordnung des Sektors, Freigabe der Ansprechpartner, Beschaffung der Stammdaten und die Einrichtung des ELSTER-Zugangs. Unternehmen sollten deshalb nicht mit „ein paar Minuten Portalzeit“, sondern mit einem kleinen internen Umsetzungsprojekt rechnen.

Muss eine Änderung nach der Registrierung gemeldet werden?

Ja. § 33 Abs. 5 BSIG verpflichtet zur Aktualisierung geänderter Angaben. Alle sonstigen Änderungen sind grundsätzlich unverzüglich, spätestens aber innerhalb von zwei Wochen nach Kenntnis an das BSI zu übermitteln.

Müssen mehrere Standorte einzeln registriert werden?

Das hängt von der rechtlichen Struktur und der Frage ab, welche Einrichtung die relevante Leistung erbringt. Maßgeblich ist nicht allein die Zahl der Standorte, sondern welche juristische Einheit reguliert ist und wie die NIS2-relevanten Dienste organisiert sind. Gerade hier sollte die Konzern- oder Gruppenstruktur vor der Registrierung sauber dokumentiert werden.

Wie funktioniert die Registrierung in Konzernstrukturen?

Konzernstrukturen sind besonders fehleranfällig. Entscheidend ist, welche juristische Einheit die regulierte Tätigkeit erbringt und welche Gesellschaft tatsächlich als besonders wichtige oder wichtige Einrichtung einzuordnen ist. Eine Konzernmutter ersetzt nicht automatisch die Registrierung jeder operativ relevanten Einheit.

Was passiert, wenn wir die Frist bereits verpasst haben?

Dann sollten Sie die Registrierung nicht weiter aufschieben. Die Fristversäumnis verschwindet nicht, wenn man abwartet. Sinnvoll ist, die Registrierung unverzüglich nachzuholen, die Betroffenheit sauber zu dokumentieren und gleichzeitig die Folgepflichten wie Meldewege und Zuständigkeiten belastbar aufzustellen.

Checkliste: NIS2 Registrierung BSI in der richtigen Reihenfolge

Die pragmatische Reihenfolge für Unternehmen sieht so aus:

1. Betroffenheit nach Sektor, Größe und Tätigkeit prüfen.
2. Interne Zuständigkeiten für Registrierung und spätere Vorfallmeldungen festlegen.
3. MUK-Zugang und ELSTER-Organisationszertifikat einrichten.
4. Pflichtdaten nach § 33 BSIG vorbereiten.
5. BSI-Portal unter portal.bsi.bund.de aufrufen und Fachverfahren wählen.
6. Stammdaten, Sektor, IP-Adressbereiche und Kontaktstelle vollständig eintragen.
7. Registrierung dokumentieren und Aktualisierungsprozess festlegen.
8. Folgepflichten für Vorfallmeldung, Risikomanagement und Management-Schulung umsetzen.

NIS2 Registrierung BSI ist damit keine isolierte Formalie, sondern der Einstieg in ein laufendes Aufsichts- und Meldeverhältnis mit dem BSI. Wenn Sie Betroffenheit, Rollen, Meldewege und Managementverständnis noch nicht belastbar aufgebaut haben, sollten Sie die Registrierung mit einer strukturierten Schulung verbinden. Unsere NIS2-Schulung hilft dabei, Geschäftsleitung, Compliance, IT und operative Verantwortliche auf denselben Umsetzungsstand zu bringen.