Het BSI-meldportaal
Eén platform, twee NIS 2 verplichtingen: eerste registratie als entiteit en melding van significante incidenten. Toegang via ELSTER-organisatiecertificaat.
Waar het om gaat
Het BSI-portaal is de plek waar twee van uw belangrijkste NIS 2 verplichtingen samenkomen. Aan de ene kant de eerste registratie als entiteit, aan de andere kant de melding van significante incidenten. Beide wegen komen achter dezelfde login uit.
De verplichtingen komen uit §32 en §33 BSIG. §33 zegt: drie maanden tijd voor registratie vanaf het moment dat u onder NIS 2 valt. §32 zegt: bij een significant incident vier meldfasen met harde termijnen, 24 uur vroegtijdige waarschuwing, 72 uur vervolgmelding, tussentijds rapport op CSIRT verzoek, eindrapport binnen een maand. Beide klokken starten bij kennisneming, niet bij het ontstaan van de schade.
De meest voorkomende struikelblok is niet het portaal zelf, maar de toegang ertoe. U heeft een ELSTER-organisatiecertificaat nodig. Dat komt per post in twee brieven, certificaatbrief plus pincode, verwerking in de praktijk twee tot drie weken. Wie de drie-maandentermijn van §33 BSIG krap inschat en parallel de ELSTER-aanvraag doet, heeft een timingprobleem.
§32 BSIG (meldplicht) + Art. 23 NIS 2
Essentiële en belangrijke entiteiten melden aan het Bundesamt significante veiligheidsincidenten onverwijld, uiterlijk binnen 24 uur na kennisneming, via het centrale meldpunt.
Het centrale meldpunt is het BSI-portaal. De plicht geldt voor alle essentiële en belangrijke entiteiten, ongeacht sector of grootte binnen de NIS 2 drempels. De termijn start bij kennisneming, niet bij het ontstaan van de schade.
§33 BSIG (registratieplicht) + Art. 27 NIS 2
Essentiële en belangrijke entiteiten registreren zich bij het Bundesamt binnen drie maanden na het eerste moment waarop aan de voorwaarden wordt voldaan. Wijzigingen worden binnen twee weken doorgegeven.
De drie-maandentermijn geldt voor eerste registratie. De twee-wekentermijn volgens §33(5) BSIG geldt voor elke latere wijziging (contactpersoon, sector, activiteit). Beide stappen lopen via het portaal.
Eerste registratie
Volgens §33 BSIG: basisgegevens, sector, contactpersoon, omvang van de activiteit, grootteklasse. Drie maanden vanaf het moment dat u voor het eerst onder NIS 2 valt.
Vroegtijdige waarschuwing 24 uur
Volgens §32 BSIG en art. 23(4)(a) NIS 2: eerste melding met aanduiding van mogelijke kwaadwillige opzet en grensoverschrijdende gevolgen. Dit zijn de enige inhouden die de tekst voor de 24u-vroegwaarschuwing uitdrukkelijk noemt.
Vervolgmelding 72 uur
Volgens §32 BSIG en art. 23(4)(b) NIS 2: eerste beoordeling van ernst en gevolgen, indicatoren van compromittering indien beschikbaar. De 72u klok loopt vanaf kennisneming, niet vanaf het 24u-moment.
Tussentijds rapport op verzoek
Volgens §32 BSIG en art. 23(4)(c) NIS 2: alleen op verzoek van het CSIRT of de bevoegde autoriteit. U stuurt het tussentijdse rapport dus niet uit eigen beweging.
Eindrapport 1 maand
Volgens §32 BSIG en art. 23(4)(d) NIS 2: uitgebreide beschrijving, oorzaak, getroffen maatregelen, grensoverschrijdende gevolgen. Een maand termijn vanaf de 72u-vervolgmelding.
Gegevensonderhoud binnen 2 weken
Volgens §33(5) BSIG en art. 27(2) NIS 2: twee weken tijd om wijzigingen in registratiegegevens door te voeren. Een personeelswisseling bij de contactpersoon is de meest voorkomende aanleiding.
Toegang tot waarschuwingen en situatierapporten
Het portaal bundelt ook BSI publicaties, waarschuwingen en sectorale situatierapporten. Handig wanneer u toch al ingelogd bent.
De aanvraag loopt via Mein Unternehmenskonto op mein-unternehmenskonto.de. Voorwaarde is een Duits belastingnummer van uw organisatie. Het certificaat zelf komt per post, de bijbehorende pincode komt in een aparte brief. Dat is geen toeval maar onderdeel van de authenticatie.
Verwerkingstijd in de praktijk: twee tot drie weken. De meeste leidingen onderschatten deze stap omdat het naar IT klinkt maar afhangt van een postzending. Wie de drie-maandentermijn van §33 BSIG wil halen, vraagt eerst ELSTER aan en registreert daarna pas bij het BSI.
Zonder ELSTER is toegang momenteel slechts in uitzonderingsgevallen mogelijk, bijvoorbeeld via elektronische mandaatverlening. De BSI website documenteert de toegestane wegen in detail.
ELSTER te laat aangevraagd
Twee tot drie weken verwerkingstijd is niet voldoende als u de aanvraag pas kort voor de termijn start. Gevolg: §33 BSIG termijn gemist, mogelijke boete onder §65 BSIG.
Contactpersoon niet bijgewerkt
Personeelswisselingen zijn de meest voorkomende stille NIS 2 overtreding. Volgens §33(5) BSIG en art. 27(2) NIS 2 heeft u twee weken om de registratiegegevens bij te werken. Wordt dat vergeten, dan komen BSI-verzoeken nergens aan en merkt u het pas bij de volgende escalatie.
Geen testronde van de melding
24 uur is krap. Wie het portaal voor het eerst openslaat tijdens een incident, verliest uren met zoeken. Aanbeveling: log een keer rustig in, bekijk de structuur, leg contacten vast, lang voor u het nodig heeft.
- Wet betreffende het Bundesamt für Sicherheit in der Informationstechnik (BSIG), §§32, 33, 65, www.gesetze-im-internet.de
- Richtlijn (EU) 2022/2555 (NIS 2), art. 23, art. 27, www.eur-lex.europa.eu
- Mein Unternehmenskonto (ELSTER organisatiecertificaat): mein-unternehmenskonto.de
- BSI website met link naar het meldportaal: www.bsi.bund.de
Deze pagina biedt gestructureerde informatie op basis van openbaar toegankelijke bronnen (NIS 2 Richtlijn, BSIG, ELSTER documentatie, BSI publicaties). Het is geen juridisch advies in de zin van §2 RDG. Procedurele details van het BSI-portaal en de ELSTER-aanvraag kunnen veranderen; de actuele BSI- en ELSTER-documentatie is bindend. Stand: 2026-06-04.