NIS-2 in Deutschland: Das BSI-Registrierungsportal ist offen – Ihre Roadmap zur Compliance

Die Landschaft der Cybersicherheit in Europa durchläuft derzeit den größten Wandel des letzten Jahrzehnts. Mit der Einführung der zweiten Richtlinie zur Netz- und Informationssicherheit (NIS-2) hat die Europäische Union die Anforderungen an die Cyberresilienz drastisch verschärft. In Deutschland wird diese Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt.

Ein entscheidender Meilenstein ist nun erreicht: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die technischen Voraussetzungen für die Registrierung betroffener Unternehmen geschaffen. Das Portal ist offen oder steht unmittelbar vor der vollen operativen Nutzung, und für Geschäftsführer sowie IT-Sicherheitsbeauftragte beginnt nun der Countdown. Es geht nicht mehr nur um theoretische Vorbereitung, sondern um handfeste Compliance-Pflichten. Wer jetzt zögert, riskiert nicht nur Bußgelder, sondern auch die operative Sicherheit seines Unternehmens.

Was Sie in diesem Artikel erfahren

• Der aktuelle Status: Was die Öffnung des BSI-Registrierungsportals konkret für Ihr Unternehmen bedeutet und welche Fristen nun laufen.
• Betroffenheitsanalyse: Eine detaillierte Aufschlüsselung, wer unter die neuen Regelungen fällt (Unterscheidung zwischen „wesentlichen“ und „wichtigen“ Einrichtungen).
• Die Roadmap zur Compliance: Ein Schritt-für-Schritt-Leitfaden von der Registrierung bis zur Umsetzung der Risikomanagementmaßnahmen.
• Meldepflichten und Sanktionen: Was im Ernstfall zu tun ist und welche Konsequenzen bei Nichtbeachtung drohen.
• Praktische Handlungsempfehlungen: Wie Sie interne Prozesse jetzt effizient anpassen.

Die Bedeutung der BSI-Registrierung

Die Registrierung beim BSI ist kein bloßer formaler Akt, sondern der Eintrittspunkt in das regulierte Umfeld der NIS-2. Mit der Bereitstellung der Registrierungsmöglichkeiten signalisiert der Gesetzgeber, dass die Schonfristen enden. Unternehmen müssen sich aktiv beim BSI melden – es erfolgt keine automatische Benachrichtigung durch die Behörden.

Die Pflicht zur Registrierung ergibt sich direkt aus dem Gesetz. Betroffene Einrichtungen müssen bestimmte Stammdaten übermitteln, darunter Name, Rechtsform, Kontaktdaten sowie die Benennung der zuständigen Ansprechpartner für die IT-Sicherheit. Wichtig ist hierbei die Aktualität: Ändern sich diese Daten, müssen sie unverzüglich aktualisiert werden. Das BSI nutzt diese Datenbank, um im Krisenfall schnell warnen zu können und um die Aufsichtstätigkeiten zu koordinieren.

Das Portal selbst ist darauf ausgelegt, große Datenmengen sicher zu verarbeiten. Für Unternehmen bedeutet dies, dass sie intern klären müssen, wer die Registrierung vornimmt. Oftmals ist dies der CISO (Chief Information Security Officer) oder ein externer Datenschutzbeauftragter, doch die Verantwortung bleibt bei der Geschäftsführung.

Wer ist betroffen? Die Erweiterung des Anwendungsbereichs

Einer der zentralen Aspekte von NIS-2 ist die massive Ausweitung des Anwendungsbereichs. Während NIS-1 sich primär auf Betreiber kritischer Infrastrukturen (KRITIS) konzentrierte, fallen unter NIS-2 nun zehntausende Unternehmen in Deutschland, die zuvor nicht reguliert waren.

Das Gesetz unterscheidet grundsätzlich zwischen zwei Kategorien von Einrichtungen, die unterschiedlichen Aufsichtsregimes unterliegen:

Wesentliche Einrichtungen (Essential Entities)

Hierzu zählen Sektoren mit besonders hoher Kritikalität. Dazu gehören unter anderem:

• Energie (Strom, Öl, Gas, Wasserstoff)
• Verkehr und Transport (Luft, Schiene, Schifffahrt, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Kliniken, Labore, Pharmaherstellung)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (IXPs, DNS-Dienste, Rechenzentren)
• Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung
• Weltraum

Wer in diesen Sektoren als großes Unternehmen gilt (ab 250 Mitarbeitern oder 50 Mio. € Umsatz/43 Mio. € Bilanzsumme), wird automatisch als wesentliche Einrichtung eingestuft. Auch qualifizierte Vertrauensdiensteanbieter und Top-Level-Domain-Namen-Registrys fallen unabhängig von ihrer Größe hierunter.

Wichtige Einrichtungen (Important Entities)

Diese Kategorie umfasst Sektoren, die ebenfalls von hoher wirtschaftlicher Bedeutung sind, deren Ausfall jedoch weniger katastrophale unmittelbare Folgen hätte als bei den wesentlichen Einrichtungen. Dazu gehören:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Chemie (Herstellung, Produktion und Handel)
• Lebensmittel (Produktion, Verarbeitung und Vertrieb)
• Verarbeitendes Gewerbe / Herstellung von Waren (z.B. Medizinprodukte, Datenverarbeitungsgeräte, Fahrzeuge, Maschinen)
• Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschung

Auch hier gelten in der Regel die Schwellenwerte für mittlere Unternehmen (ab 50 Mitarbeitern oder 10 Mio. € Umsatz).

Wichtig: Es gibt die sogenannte „Size-Cap-Rule“. Kleinunternehmen sind in der Regel ausgenommen, es sei denn, sie sind in Bereichen tätig, die als systemrelevant eingestuft werden (z.B. DNS-Service-Provider).

Ihre Roadmap zur Compliance: Ein 4-Phasen-Plan

Da das BSI-Portal nun bereitsteht, sollten Unternehmen nicht länger warten. Der folgende Plan hilft Ihnen, Struktur in das Projekt „NIS-2“ zu bringen.

Phase 1: Die Betroffenheitsanalyse und Gap-Analyse

Bevor Sie sich registrieren, müssen Sie intern rechtssicher klären, ob und als was (wesentlich oder wichtig) Sie betroffen sind.

1. Bestandsaufnahme: Analysieren Sie Ihre Sektoren und Teilsektoren sowie Ihre Unternehmensgröße (Mitarbeiterzahl und Finanzdaten). Berücksichtigen Sie dabei auch Verflechtungen innerhalb von Unternehmensgruppen.
2. Gap-Analyse: Vergleichen Sie Ihren aktuellen Stand der Informationssicherheit (z.B. ISO 27001 Zertifizierung) mit den Anforderungen der NIS-2. Wo fehlen Prozesse? Wo ist die Dokumentation lückenhaft?

Phase 2: Registrierung beim BSI

Sobald die Betroffenheit feststeht, ist die Registrierung der nächste formale Schritt.

1. Datenvorbereitung: Legen Sie fest, wer als Kontaktstelle fungiert. Es empfiehlt sich eine Funktionsadresse (z.B. security@firma.de) und eine 24/7 erreichbare Notfallnummer.
2. Durchführung: Nutzen Sie das BSI-Portal zur Registrierung. Dokumentieren Sie diesen Schritt sorgfältig für Ihre Unterlagen.
3. Fristen: Die Registrierung muss in der Regel innerhalb einer kurzen Frist nach Inkrafttreten des Gesetzes oder nach Erfüllung der Kriterien erfolgen (oftmals 3 Monate, abhängig vom finalen deutschen Gesetzestext).

Phase 3: Risikomanagementmaßnahmen (Artikel 21)

Dies ist der arbeitsintensivste Teil. NIS-2 schreibt einen „Gefahrenübergreifenden Ansatz“ vor. Sie müssen technische, operative und organisatorische Maßnahmen ergreifen, die dem Risiko angemessen sind. Dazu gehören zwingend:

• Konzepte zur Risikoanalyse: Wie identifizieren und bewerten Sie Cyberrisiken?
• Bewältigung von Sicherheitsvorfällen: Ein definierter Incident-Response-Plan ist Pflicht.
• Business Continuity Management (BCM): Backup-Management, Wiederherstellung nach Desastern und Krisenmanagement.
• Sicherheit der Lieferkette: Sie sind verantwortlich für die Sicherheit Ihrer Zulieferer und Dienstleister. Dies ist einer der komplexesten Punkte, da Sie vertragliche Regelungen prüfen und anpassen müssen.
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung: Security by Design in der IT-Beschaffung und -Entwicklung.
• Kryptografie: Richtlinien für den Einsatz von Verschlüsselung.
• Personalsicherheit: Zugriffskontrollen und Schulungen für Mitarbeiter (Cyber Hygiene).
• MFA (Multi-Faktor-Authentifizierung): Der Einsatz von MFA und gesicherter Sprach-, Video- und Textkommunikation ist vorgeschrieben.

Phase 4: Meldewesen etablieren

NIS-2 verschärft die Meldepflichten drastisch. Es wurde ein mehrstufiges Meldesystem eingeführt, das extrem kurze Reaktionszeiten verlangt:

1. Frühwarnung: Innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls muss eine erste Meldung an das BSI erfolgen. Dies dient dazu, festzustellen, ob der Vorfall grenzüberschreitende Auswirkungen haben könnte.
2. Meldung des Vorfalls: Innerhalb von 72 Stunden muss eine detailliertere Bewertung folgen, inklusive einer ersten Einschätzung des Schweregrads und der Auswirkungen (Indikatoren of Compromise).
3. Abschlussbericht: Spätestens einen Monat nach der Bewältigung des Vorfalls (oder nach dem 72-Stunden-Bericht, je nach Verlauf) muss ein finaler Bericht eingereicht werden.

Diese Fristen sind sportlich. Ohne automatisierte Erkennungssysteme (SIEM/SOC) und klar definierte Meldewege im Unternehmen sind diese 24 Stunden kaum einzuhalten.

Die Rolle der Geschäftsleitung: Haftung und Verantwortung

Ein Paradigmenwechsel der NIS-2 ist die direkte Inpflichtnahme der Geschäftsleitung („Management Bodies“). Die Verantwortung für die Cybersicherheit kann nicht mehr einfach an die IT-Abteilung delegiert werden.

• Approbationspflicht: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen.
• Überwachungspflicht: Sie muss die Umsetzung überwachen.
• Schulungspflicht: Geschäftsführer müssen an Schulungen teilnehmen, um ausreichende Kenntnisse zur Beurteilung von Risiken zu erlangen.
• Haftung: Bei Verstößen haften Geschäftsführer unter Umständen persönlich mit ihrem Privatvermögen gegenüber dem Unternehmen (Innenhaftung), wenn sie ihre Pflichten schuldhaft verletzen.

Sanktionen und Aufsicht

Die Sanktionen wurden deutlich angehoben, um eine abschreckende Wirkung zu erzielen.

• Für wesentliche Einrichtungen können Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden (je nachdem, welcher Betrag höher ist).
• Für wichtige Einrichtungen liegen die Obergrenzen bei 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes.

Zusätzlich hat das BSI bei wesentlichen Einrichtungen weitreichende Befugnisse, darunter Vor-Ort-Kontrollen, Sicherheitsaudits und im Extremfall sogar die vorübergehende Untersagung der Tätigkeit von Führungskräften.

Fazit: Handeln statt Abwarten

Die Öffnung des BSI-Registrierungsportals ist der Startschuss für die operative Phase der NIS-2-Compliance. Für deutsche Unternehmen bedeutet dies: Die Zeit der theoretischen Auseinandersetzung ist vorbei. Die Anforderungen sind komplex und berühren alle Ebenen der Organisation – von der IT-Infrastruktur über die Rechtsabteilung (Lieferverträge) bis hin zur Geschäftsführung.

Die Roadmap ist klar definiert: Betroffenheit prüfen, registrieren, Maßnahmen implementieren und Meldeprozesse schärfen. Wer NIS-2 nicht als bürokratische Last, sondern als Chance zur Stärkung der eigenen Resilienz begreift, investiert nachhaltig in die Zukunftssicherheit seines Unternehmens. Beginnen Sie heute mit der Gap-Analyse, denn Cybersicherheit ist in der vernetzten Wirtschaft kein “Nice-to-have”, sondern die Lizenz zum Handeln.

Die neuen Anforderungen sind komplex und binden wertvolle Ressourcen. Lassen Sie sich davon nicht ausbremsen. Unsere Experten begleiten Sie durch den gesamten Prozess – von der rechtssicheren Betroffenheitsanalyse über die BSI-Registrierung bis hin zur Implementierung der erforderlichen Sicherheitsmaßnahmen.

Jetzt unverbindliches Erstgespräch vereinbaren – Sichern Sie Ihre Compliance, bevor die Fristen ablaufen.