NIS2-Registrierung beim BSI: MUK, Portal und Fristen im Überblick

Die Registrierungspflicht nach dem neuen BSI-Gesetz gilt seit dem 6. Dezember 2025. Die Frist für Einrichtungen, die schon bei Inkrafttreten betroffen waren, endete am 6. März 2026; auch die vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 ist inzwischen verstrichen. Wer bis heute nicht registriert ist, ist säumig und sollte die Registrierung ohne weiteren Aufschub nachholen.

Wer sich registrieren muss

Die Registrierungspflicht trifft besonders wichtige und wichtige Einrichtungen im Sinne von § 28 BSIG. Ob eine Einrichtung dazuzählt, entscheidet sich anhand der Anlagen 1 und 2 BSIG (Sektor und Einrichtungsart) und der Größenschwellen. Für die wichtige Einrichtung genügt es, wenn mindestens 50 Mitarbeiter beschäftigt sind und eine der dort genannten Einrichtungsarten vorliegt; auf Umsatz und Bilanzsumme kommt es dann nicht mehr an. Bei unter 50 Mitarbeitern greift die Schwelle nach § 28 Abs. 2 Nr. 3 BSIG nur, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Für die besonders wichtige Einrichtung gilt nach § 28 Abs. 1 Nr. 4 BSIG die Schwelle von 250 Mitarbeitern; alternativ reicht ein Jahresumsatz über 50 Millionen Euro in Verbindung mit einer Jahresbilanzsumme über 43 Millionen Euro.

Unabhängig von der Größe gelten unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter als besonders wichtige Einrichtungen und damit als registrierungspflichtig. Vertrauensdiensteanbieter unterhalb der Schwellen sowie Anbieter öffentlicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze gelten als wichtige Einrichtungen. Wer weder in einen Sektor der Anlagen fällt noch zu einer dieser namentlich genannten Gruppen gehört, muss sich nicht registrieren. Der Registrierungspflicht geht also die Betroffenheitsprüfung voraus. Erst wer sich zuverlässig zuordnen kann, weiß, ob und in welcher Kategorie er sich registrieren muss.

Zwei Systeme, ein Ablauf: MUK und BSI-Portal

Die Registrierung läuft technisch über zwei Stellen. Zunächst legt die Einrichtung ein Konto bei 'Mein Unternehmenskonto' (MUK) an. Der Zugang erfolgt mit einem ELSTER-Organisationszertifikat, dem gleichen Zertifikat, das auch für elektronische Steuermeldungen zum Einsatz kommt. Ohne dieses Zertifikat ist die Registrierung nicht möglich.

Aus dem Unternehmenskonto heraus gelangt die Einrichtung in das Meldeportal des BSI. Dort wird das eigentliche Registrierungsformular ausgefüllt und übermittelt. Die Zwischenschaltung des Unternehmenskontos dürfte der Identifizierung der handelnden Organisation dienen; das ist eine Zweck-Vermutung anhand des Ablaufs und keine amtliche Aussage. Für die Praxis heißt das: Wer noch kein ELSTER-Organisationszertifikat besitzt, muss dieses zuerst beantragen. Die Ausstellung erfolgt nach Zusendung eines Aktivierungscodes per Post und braucht entsprechend Vorlaufzeit.

Wer bereits Umsatzsteuervoranmeldungen oder Lohnsteueranmeldungen elektronisch abgibt, verfügt in aller Regel über ein passendes Zertifikat und kann das Unternehmenskonto direkt einrichten. Für kleinere Einrichtungen, die bislang ohne ELSTER-Zertifikat gearbeitet haben, ist der Zertifikatsantrag der zeitkritische Schritt. Der Aktivierungscode wird per Post an die im Finanzamt hinterlegte Anschrift geschickt und braucht mehrere Werktage. Dieser Puffer sollte in der Planung nicht vergessen werden.

Welche Angaben verlangt werden

Das Portal fragt die für die Registrierung nach § 33 Abs. 1 BSIG vorgesehenen Angaben ab. In der Praxis sind das:

Die Angabe zu öffentlichen IP-Adressbereichen und zugehörigen Domänen ist nach § 33 Abs. 2 BSIG nicht für jede Einrichtung verpflichtend, sondern nur für die dort genannten Gruppen. Für Einrichtungen, die zu diesen Gruppen zählen, liegt die häufigste Hürde bei den öffentlichen IP-Adressbereichen. Wer öffentliche Adressbereiche über einen Provider oder ein Rechenzentrum bezieht, klärt den genauen Umfang am besten mit dem Anbieter. Für die übrigen Einrichtungen verlangt das Formular diese Angaben nicht. Die geforderten Informationen sollten vor Beginn der Registrierung vollständig bereitliegen, damit sie nicht in mehreren Anläufen nachgereicht werden müssen.

Name und Anschrift der Einrichtung
Zuordnung zur Einrichtungsart nach Anlage 1 oder Anlage 2 BSIG
Ansprechperson für Sicherheitsvorfälle mit Erreichbarkeit rund um die Uhr
Mitgliedstaaten, in denen die Einrichtung Dienste erbringt
Öffentliche IP-Adressbereiche und zugehörige Domänen, aber nur für die in § 33 Abs. 2 BSIG genannten Einrichtungsarten (unter anderem DNS-Diensteanbieter, TLD Name Registries, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, Content Delivery Networks, verwalteten Diensten und verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke)

Fristen und Stand nach dem 31. Juli 2026

§ 33 Abs. 1 BSIG regelt die Frist: Wer erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt, muss sich spätestens drei Monate danach beim BSI registrieren. Für Einrichtungen, die schon am 6. Dezember 2025 in den Anwendungsbereich fielen, lief diese Drei-Monats-Frist am 6. März 2026 aus.

Das BSI hatte für die Registrierung eine Nachfrist bis zum 31. Juli 2026 gewährt. Auch diese Nachfrist ist inzwischen verstrichen. Für Unternehmen, die weiterhin nicht registriert sind, folgt daraus zweierlei. Erstens besteht die Pflicht ungeschmälert fort; die Registrierung ist unverzüglich nachzuholen. Zweitens ist ein Verstoß bußgeldbewehrt: bis zu 500.000 Euro nach § 65 Abs. 2 Nr. 6 in Verbindung mit Abs. 5 Satz 1 Nr. 5 BSIG. Kommt eine Einrichtung ihrer Pflicht nicht nach, kann das BSI die Registrierung nach § 33 Abs. 3 BSIG selbst vornehmen. Praktisch bedeutet die abgelaufene Nachfrist: Bei einer aufsichtsrechtlichen Feststellung kann die fehlende Registrierung gesondert verfolgt werden, unabhängig davon, ob sonstige Pflichten wie Risikomanagement oder Meldewesen eingehalten sind.

Für Einrichtungen, die erst nach dem Inkrafttreten in den Anwendungsbereich hineinwachsen, etwa weil sie die Mitarbeiterschwelle überschreiten oder eine neue Geschäftstätigkeit aufnehmen, beginnt die Drei-Monats-Frist ab dem Zeitpunkt der Betroffenheit.

Änderungen binnen zwei Wochen

Mit dem Absenden des Formulars ist die Pflicht nicht abgeschlossen. § 33 Abs. 5 BSIG verlangt, dass Änderungen der übermittelten Angaben binnen zwei Wochen nachzumelden sind. Betroffen sind unter anderem ein Wechsel der Ansprechperson, eine neue Erreichbarkeit für Sicherheitsvorfälle, eine geänderte Firmierung oder Anschrift, ein Wechsel der Einrichtungsart nach Anlage 1 oder 2 und Änderungen an den öffentlichen IP-Bereichen und Domänen.

Nach meiner Einschätzung wird gerade diese Nachmeldepflicht häufig übersehen. Sinnvoll ist es, die Nachmeldung in bestehende Prozesse einzubetten: an das Onboarding neuer Ansprechpersonen, an die Freigabe von IP-Änderungen im Netzbetrieb oder an die Aktualisierung des Handelsregistereintrags. So hängt die Zwei-Wochen-Frist nicht davon ab, dass eine einzelne Person daran denkt.

Wenn die Betroffenheit noch nicht geklärt ist

Ein Teil der Anfragen zur Registrierung stammt von Unternehmen, die nicht sicher sind, ob sie überhaupt betroffen sind. Ich rate davon ab, die Registrierung 'vorsorglich' zu starten. Zuerst gehört die Betroffenheit sauber geprüft: Sektor und Einrichtungsart nach Anlage 1 oder 2 BSIG, Größenschwellen nach § 28 BSIG in Verbindung mit der Empfehlung 2003/361/EG, gegebenenfalls Sonderfälle unabhängig von der Größe.

Ergibt die Prüfung, dass keine Betroffenheit vorliegt, ist die Registrierung weder erforderlich noch sinnvoll; eine unnötige Registrierung erzeugt gegenüber der Aufsicht eine falsche Signalwirkung und bindet interne Ressourcen ohne sachlichen Grund. Ergibt die Prüfung dagegen Betroffenheit, sollte die Registrierung ohne Verzögerung vorbereitet und durchgeführt werden.

Fazit

Die beiden bekannten Registrierungsfristen, der 6. März 2026 und der 31. Juli 2026, sind abgelaufen. Die Pflicht selbst bleibt bestehen, ebenso die Bußgeldbewehrung und die Möglichkeit einer Fremdregistrierung durch das BSI. Wer betroffen ist und noch nicht registriert ist, sollte in dieser Reihenfolge vorgehen: ELSTER-Organisationszertifikat sicherstellen, Angaben nach § 33 Abs. 1 BSIG zusammentragen (einschließlich öffentlicher IP-Bereiche und Domänen, soweit die Einrichtung zu den in § 33 Abs. 2 BSIG genannten Gruppen zählt), Registrierung im BSI-Portal durchführen und einen internen Prozess für die Zwei-Wochen-Nachmeldung einrichten.

Wer vor der Registrierung zunächst die eigene Betroffenheit klären möchte, kann den kostenlosen NIS2-Betroffenheits-Check von DC INFOSEC nutzen und erhält am Ende einen strukturierten Report.Zum kostenlosen NIS2-Check