Das BSI-Meldeportal
Eine Plattform für zwei NIS 2 Pflichten: Erstregistrierung als Einrichtung und Meldung erheblicher Sicherheitsvorfälle. Zugang über ELSTER Organisationszertifikat.
Worum es geht
Das BSI Portal ist die Stelle, an der zwei Ihrer wichtigsten NIS 2 Pflichten zusammenlaufen. Einmal die Erstregistrierung als Einrichtung, einmal die Meldung erheblicher Sicherheitsvorfälle. Beide Wege landen hinter dem selben Login.
Die Pflichten kommen aus §32 und §33 BSIG. §33 sagt: drei Monate Zeit für die Registrierung ab dem Moment, in dem Sie unter NIS 2 fallen. §32 sagt: bei einem erheblichen Sicherheitsvorfall vier Meldestufen mit harten Fristen, 24 Stunden Frühwarnung, 72 Stunden Folgemeldung, Zwischenbericht auf CSIRT Anforderung, Abschluss nach einem Monat. Beide Uhren starten mit Kenntniserlangung, nicht mit Schadenseintritt.
Der häufigste Stolperstein ist nicht das Portal selbst, sondern der Zugang. Sie brauchen ein ELSTER Organisationszertifikat. Das kommt per Post in zwei Briefen, Zertifikatsbrief plus PIN, Bearbeitung in der Praxis zwei bis drei Wochen. Wer die 3 Monats Frist nach §33 BSIG knapp angeht und parallel den ELSTER Antrag stellt, hat ein Timing Problem.
§32 BSIG (Meldepflichten) + Art. 23 NIS 2
Wesentliche und wichtige Einrichtungen melden dem Bundesamt erhebliche Sicherheitsvorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung über die gemeinsame Meldestelle.
Die gemeinsame Meldestelle ist das BSI-Portal. Die Pflicht gilt für alle wesentlichen und wichtigen Einrichtungen, unabhängig von Sektor oder Größe innerhalb der NIS 2 Schwellen. Die Frist startet mit Kenntniserlangung, nicht mit dem Schadenseintritt.
§33 BSIG (Registrierungspflicht) + Art. 27 NIS 2
Wesentliche und wichtige Einrichtungen registrieren sich innerhalb von drei Monaten nach erstmaligem Eintritt der Voraussetzungen beim Bundesamt. Änderungen sind innerhalb von zwei Wochen mitzuteilen.
Die 3 Monats Frist gilt für die Erstregistrierung. Die 2 Wochen Frist nach §33(5) BSIG gilt für jede spätere Änderung (Kontaktperson, Sektor, Tätigkeit). Beide Schritte laufen über das Portal.
Erstregistrierung
Nach §33 BSIG: Stammdaten, Sektor, Kontaktperson, Tätigkeitsumfang, Größenklasse. Drei Monate Frist ab dem Moment, in dem Sie unter NIS 2 fallen.
Frühwarnung 24 Stunden
Nach §32 BSIG und Art. 23(4)(a) NIS 2: erste Meldung mit Hinweis auf mutmaßliche Böswilligkeit und auf grenzüberschreitende Auswirkungen. Beides sind die einzigen Inhalte, die der Wortlaut für die 24h Frühwarnung ausdrücklich nennt.
Folgemeldung 72 Stunden
Nach §32 BSIG und Art. 23(4)(b) NIS 2: erste Bewertung von Schwere und Auswirkungen, soweit verfügbar Kompromittierungsindikatoren. Die Frist läuft ab Kenntniserlangung, nicht ab dem 24h Markstein.
Zwischenbericht auf Anforderung
Nach §32 BSIG und Art. 23(4)(c) NIS 2: nur auf Anforderung des CSIRT oder der zuständigen Behörde. Sie schicken den Zwischenbericht also nicht von sich aus.
Abschlussbericht 1 Monat
Nach §32 BSIG und Art. 23(4)(d) NIS 2: ausführliche Beschreibung, Ursache, ergriffene Maßnahmen, grenzüberschreitende Auswirkungen. Ein Monat Frist ab der 72h Folgemeldung.
Datenpflege binnen 2 Wochen
Nach §33(5) BSIG und Art. 27(2) NIS 2: zwei Wochen Zeit, um Änderungen der Registrierungsdaten einzupflegen. Der häufigste Auslöser ist ein Personalwechsel bei der Kontaktperson.
Zugriff auf Warnungen und Lageberichte
Das Portal bündelt außerdem BSI Veröffentlichungen, Warnungen und sektorale Lageberichte. Praktisch, wenn Sie ohnehin schon eingeloggt sind.
Der Antrag läuft über Mein Unternehmenskonto unter mein-unternehmenskonto.de. Voraussetzung ist eine deutsche Steuernummer Ihrer Organisation. Das Zertifikat selbst kommt per Post, die PIN zur Aktivierung kommt in einem getrennten Brief. Das ist nicht zufällig, sondern Teil der Authentifizierung.
Verarbeitungszeit in der Praxis: zwei bis drei Wochen. Die meisten Geschäftsführungen unterschätzen diesen Schritt, weil er nach IT klingt, aber an einer Postzustellung hängt. Wer die 3 Monats Frist nach §33 BSIG einhalten will, stellt den ELSTER Antrag zuerst und registriert sich erst danach beim BSI.
Ohne ELSTER ist ein Zugang derzeit nur in Ausnahmefällen möglich, etwa über eine elektronische Mandatierung. Die zulässigen Wege im Detail dokumentiert die BSI Seite.
ELSTER Antrag zu spät gestellt
Zwei bis drei Wochen Bearbeitungszeit reichen nicht, wenn Sie den Antrag erst kurz vor Fristende stellen. Folge: §33 BSIG Frist verpasst. Bußgeld nach §65 BSIG kann folgen.
Kontaktperson nicht aktualisiert
Personalwechsel ist der häufigste stille Verstoß gegen NIS 2. Nach §33(5) BSIG und Art. 27(2) NIS 2 haben Sie zwei Wochen, um die Registrierungsdaten zu aktualisieren. Vergisst das jemand, gehen BSI Anfragen ins Leere und Sie merken es erst bei der nächsten Eskalation.
Kein Test der Meldung vorab
24 Stunden sind eng. Wer das Portal das erste Mal im Vorfall öffnet, verliert Stunden beim Hin- und Hersuchen. Empfehlung: einmal in Ruhe einloggen, die Strukturen anschauen, Kontakte hinterlegen, lange bevor Sie es brauchen.
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), §§32, 33, 65, www.gesetze-im-internet.de
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 23, Art. 27, www.eur-lex.europa.eu
- Mein Unternehmenskonto (ELSTER Organisationszertifikat): mein-unternehmenskonto.de
- BSI Website mit Verlinkung auf das Meldeportal: www.bsi.bund.de
Diese Seite ist eine strukturierte Hilfestellung auf Basis öffentlich zugänglicher Quellen (NIS 2 Richtlinie, BSIG, ELSTER Dokumentation, BSI Veröffentlichungen). Sie ersetzt keine Rechtsberatung im Sinne des §2 RDG. Verfahrensdetails des BSI Portals und des ELSTER Antrags können sich ändern; verbindlich ist die aktuelle BSI bzw. ELSTER Dokumentation. Stand: 2026-06-04.