NIS2-Registrierung im BSI-Portal: Schritte, Angaben, Nachholen

Diese Seite erklärt die Registrierung nach §§ 33 und 34 BSIG: wer sich registrieren muss, bis wann, welche Angaben das BSI-Portal abfragt und was zu tun ist, wenn die Frist verpasst wurde. Ob Ihr Unternehmen besonders wichtig, wichtig oder gar nicht betroffen ist, klären Sie vorher mit der Betroffenheitsprüfung; das BSI teilt die Einstufung nicht mit.

Wer muss sich registrieren?

Registrieren müssen sich besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister (§ 33 Abs. 1 BSIG). Die Einstufung nehmen die Unternehmen selbst vor. Leicht übersehen werden diese Fälle:

• Telekommunikation und Energie: § 28 Abs. 5 nimmt Betreiber öffentlicher TK-Netze und -Dienste sowie Energieeinrichtungen, die den §§ 5c bis 5e EnWG unterliegen, von den meisten Pflichten aus, etwa §§ 30, 32 und 38. § 33 gehört nicht dazu; die Registrierung bleibt (für TK-Anbieter: TK-Anbieter unter NIS2 und TKG). Laut BSI registrieren sich auch Betreiber von Energieversorgungsnetzen, die selbst keine (besonders) wichtige Einrichtung sind, mit den Angaben nach § 33 Abs. 1 Nr. 1 bis 4.
• Finanzunternehmen unter DORA: Laut BSI ist die Registrierung erforderlich, obwohl die weitergehenden Pflichten nach dem BSIG für sie nicht gelten; das gehört zur Abgrenzung von NIS2 und DORA.
• Betreiber kritischer Anlagen: Die Registrierung als Betreiber kritischer Anlagen läuft derzeit weiter über das Melde- und Informationsportal (MIP). Zusätzlich registrieren sie sich im BSI-Portal als besonders wichtige Einrichtung und geben dabei die KRITIS-Betreiber-ID an.

Bis wann muss die Registrierung erfolgen?

Spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtig oder wichtig gilt. Für Unternehmen, die schon beim Inkrafttreten am 06.12.2025 betroffen waren, ergibt das den 06.03.2026; das Datum ist von uns berechnet, das BSI meldet die Frist auf seiner NIS‑2-Seite als abgelaufen.

Zu § 33 Abs. 5: Nach § 66 BSIG gilt dieser Absatz bis zur Verordnung nach dem KRITIS-Dachgesetz in der Fassung bis 28.07.2026 weiter. Auch diese Fassung verlangt für die Angaben nach Abs. 1 die Übermittlung unverzüglich, spätestens binnen zwei Wochen; sie enthält zusätzlich Sonderregeln für Betreiber kritischer Anlagen (Wortlaut nach BGBl. 2025 I Nr. 301 und der Gegenüberstellung bei buzer.de). Was § 66 sonst bedeutet, steht auf der Seite NIS2-Umsetzungsgesetz.

Wie läuft die Registrierung im BSI-Portal ab?

In zwei Stufen: erst das ELSTER-Organisationszertifikat, dann die Registrierung im BSI-Portal. Die Einzelheiten hat das BSI nach § 33 Abs. 6 verbindlich festgelegt (Version 1.0 vom 26.06.2026).

1. ELSTER-Organisationszertifikat beantragen. Die Anmeldung im BSI-Portal läuft über „Mein Unternehmenskonto“ (MUK). Dafür braucht die Einrichtung ein ELSTER-Organisationszertifikat, das eine deutsche Steuernummer voraussetzt. Ausländische Einrichtungen ohne deutsche Steuernummer können beim Finanzamt Neubrandenburg ein Ordnungskriterium in Form einer Steuernummer beantragen.
2. Im BSI-Portal anmelden. Über „Mit MUK anmelden“ geht es zu ELSTER: Zertifikat hochladen, Passwort eingeben, die Weitergabe der Daten bestätigen. Name, Anschrift, Rechtsform, Registerart, Registernummer und Registergericht übernimmt das Portal aus MUK. Im Portal lassen sie sich nicht ändern; Korrekturen erfolgen in „Mein ELSTER“.
3. NIS‑2-Registrierung ausfüllen. Im Bereich „NIS‑2“ führt „Zur NIS‑2-Registrierung“ durch die Angaben: ob die Einrichtung zu den Stellen des Bundes zählt, ob sie als Betreiber einer kritischen Anlage registriert ist, die NIS‑2-Einstufung, Sektor, Branche und Einrichtungsart, die EU-Mitgliedstaaten, die Aufsichtsbehörden, Kontaktstelle, Kontaktpersonen und IP-Adressbereiche. Wer in mehreren Sektoren tätig ist, ergänzt weitere Einrichtungsarten.
4. Abschließen und pflegen. Mit „Registrierung abschließen“ ist die Registrierung übermittelt. Änderungen nehmen Sie später im Reiter „Ihre Registrierung“ vor.

Checkliste: welche Angaben Sie vorbereiten

Die Checkliste fasst zusammen, was § 33 Abs. 1 verlangt und was das Portal laut BSI-Anleitung abfragt. Die Spalte „Beispiel“ ist für das fiktive Unternehmen aus dem Abschnitt weiter unten ausgefüllt.

Unsere Empfehlung: Legen Sie die ausgefüllte Checkliste mit Datum zur Einstufungsdokumentation. Sie ist gleichzeitig die Grundlage, um Änderungen fristgerecht nachzutragen.

Was tun, wenn die Registrierung verspätet ist?

Holen Sie sie so bald wie möglich nach. Das BSI schreibt auf seiner NIS‑2-Seite: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen. Von NIS‑2 betroffen und noch nicht registriert? Dann jetzt umgehend im BSI-Portal registrieren!“ Der Ablauf ist derselbe wie bei fristgerechter Registrierung.

• Bußgeld: Wer eine Angabe nach § 33 Abs. 1 oder § 34 Abs. 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt ordnungswidrig, vorsätzlich wie fahrlässig (§ 65 Abs. 2 Nr. 6). Der Höchstbetrag liegt bei 500.000 € (§ 65 Abs. 5 Satz 1 Nr. 5). Die Höchstbeträge der übrigen Tatbestände stehen in der Übersicht der NIS2-Pflichten.
• Registrierung durch das BSI: Kommt eine Einrichtung ihrer Pflicht nicht nach, kann das BSI im Einvernehmen mit den zuständigen Aufsichtsbehörden die Registrierung selbst vornehmen (§ 33 Abs. 3). Bei Verdacht auf fehlende Registrierung kann es Unterlagen und Auskunft verlangen (§ 33 Abs. 4).
• Übrige Pflichten: Risikomanagement nach § 30, Meldepflicht nach § 32 und die Pflichten der Geschäftsleitung gelten seit dem Inkrafttreten, unabhängig von der Registrierung. Einen erheblichen Sicherheitsvorfall vor der Registrierung melden Sie laut BSI über ein Online-Formular im MIP; mehr auf der Seite NIS2-Meldepflicht.

Ob und wie eine Behörde einen Verstoß verfolgt, können wir nicht vorhersagen; die rechtlichen Folgen im Einzelfall klären Sie mit einer Rechtsberatung. Fachlich empfehlen wir, intern festzuhalten, seit wann sich das Unternehmen als betroffen einstuft und wann es registriert hat; wie Sie eine verspätete Registrierung dokumentieren, stimmen Sie am besten mit Ihrer Rechtsberatung ab.

Was gilt zusätzlich nach § 34 für digitale Einrichtungsarten?

Für bestimmte digitale Einrichtungsarten kommt eine besondere Registrierung nach § 34 hinzu, ebenfalls binnen drei Monaten. Erfasst sind die Einrichtungsarten nach § 60 Abs. 1 Satz 1, etwa Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Managed Service Provider und Online-Marktplätze. Der Kreis entspricht weitgehend den digitalen Einrichtungsarten, für die die Durchführungsverordnung (EU) 2024/2690 Vorrang hat (vollständige Liste im Sektorenverzeichnis), mit einer Abweichung: Domain-Name-Registry-Dienstleister stehen in § 34, Vertrauensdiensteanbieter nicht.

§ 34 Abs. 1 verlangt sechs Angaben: Name; Sektor, Branche und Einrichtungsart nach Anlage 1; Anschrift der Hauptniederlassung in der EU und der sonstigen Niederlassungen in der EU oder, ohne Niederlassung in der EU, des benannten Vertreters; aktuelle Kontaktdaten; die Mitgliedstaaten, in denen Dienste erbracht werden; die öffentlichen IP-Adressbereiche. Änderungen sind binnen drei Monaten zu melden. Das BSI leitet die Angaben außer den IP-Bereichen an die EU-Agentur für Cybersicherheit (ENISA) weiter.

Zuständig ist das BSI für diese Einrichtungsarten nur, wenn die Hauptniederlassung in der EU in Deutschland liegt, dann aber für die ganze EU. Als Hauptniederlassung gilt der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden.

Und die Registrierung nach dem KRITIS-Dachgesetz?

Die ist derzeit nicht fällig. Das KRITIS-Dachgesetz sieht eine eigene Registrierung kritischer Anlagen beim BBK vor, binnen drei Monaten, nachdem eine Anlage als kritisch gilt. Welche Anlagen das sind, bestimmt erst eine Verordnung, die laut BBK noch in Erarbeitung ist; deshalb besteht nach dessen Auskunft derzeit keine Registrierungspflicht nach dem KRITIS-Dachgesetz. Die BSIG-Registrierung nach § 33 Abs. 1 ist davon unabhängig.

Beispiel: eine versäumte Registrierung nachholen

Fiktives Beispiel, kein Kunde. Ein Maschinenbauer mit 180 Beschäftigten und zwei Standorten liegt seit Jahren über 50 Mitarbeitern und fällt mit dem Maschinenbau unter Anlage 2. Er ist damit wichtige Einrichtung, seit dem 06.12.2025. Im Oktober 2026 fällt bei einer Kundenanfrage auf, dass die Registrierung fehlt. So geht das Unternehmen vor:

1. Die Geschäftsführung lässt die Einstufung in einem kurzen Einstufungsvermerk festhalten, mit Datum.
2. Die NIS2-Verantwortliche prüft, wer das ELSTER-Organisationszertifikat verwaltet. Es liegt in der Buchhaltung; Zugriff und Passwortverwahrung werden geregelt.
3. Sie füllt die Checkliste oben aus. Die IP-Bereiche holt die IT aus den Providerverträgen beider Standorte.
4. Die Registrierung wird im BSI-Portal abgeschlossen und das Datum dokumentiert.
5. Parallel prüft das Unternehmen, ob Risikomanagement und Meldeweg stehen, denn diese Pflichten gelten schon seit Dezember 2025. Die Reihenfolge der offenen Punkte kommt in den Maßnahmenplan.

Drei typische Lücken

Diese Seite gibt allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. Wenn Sie neben der Registrierung wissen wollen, wo Ihr Unternehmen bei den übrigen Pflichten steht, ist die NIS2-Gap-Analyse der strukturierte Einstieg.