NIS2 Frist verpasst? Was Sie jetzt tun
Registrieren Sie sich jetzt bei der Behörde Ihres Landes und fangen Sie mit den Maßnahmen an. Die Frist setzt das Gesetz Ihres Landes. Die Tabelle unten zeigt sie für alle 27 Länder der EU, mit Behörde und Portal.
Programme und Mitgliedschaften
NIS2 Fristen zur Registrierung in allen 27 Ländern der EU
Stand unserer Übersicht der Registrierungsstellen: 26. Oktober 2026. Die Seite zu Ihrem Land erklärt, für wen die Frist gilt.
| Land | Behörde und Portal |
|---|---|
| BelgienAbgelaufen am 18. März 2025 | CCB (Centre for Cybersecurity Belgium)Safeonweb@Work |
| BulgarienKeine Frist erfasst | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government AgencyNoch kein Portal |
| DänemarkAbgelaufen am 1. Oktober 2025 | SAMSIK (Styrelsen for Samfundssikkerhed)Virk |
| DeutschlandAbgelaufen am 6. März 2026 | BSI (Bundesamt für Sicherheit in der Informationstechnik)BSI-Portal |
| EstlandAbgelaufen am 31. März 2026 | RIA (Riigi Infosüsteemi Amet)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| FinnlandAbgelaufen am 8. Mai 2025 | Traficom + sector authorities (NCSC-FI as national CSIRT)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| FrankreichKeine Frist erfasst | ANSSI (Agence nationale de la sécurité des systèmes d'information)MonEspaceNIS2 |
| GriechenlandAbgelaufen am 30. September 2025 | NCSA (National Cyber Security Authority)NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) |
| IrlandKeine Frist erfasst | NCSC (National Cyber Security Centre)Noch kein Portal |
| ItalienBis 28. Februar 2027 | ACN (Agenzia per la Cybersicurezza Nazionale)ACN NIS Portal |
| KroatienKeine Frist erfasst | NHCSC-HR (National Cybersecurity Center)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| LettlandAbgelaufen am 1. April 2025 | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LVKein Portal erfasst, die Seite zum Land erklärt den Weg |
| LitauenKeine Frist erfasst | NKSC (National Cybersecurity Center)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| LuxemburgAbgelaufen am 10. Juli 2026 | ILR (Institut Luxembourgeois de Régulation)ILR Guichet (NISS_EE231) |
| MaltaKeine Frist erfasst | CIPD (Critical Infrastructure Protection Department)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| NiederlandeAbgelaufen am 15. August 2026 | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)MijnNCSC / Entiteitenregister |
| ÖsterreichBis 4. Januar 2027 | Bundesamt für CybersicherheitNIS2 Services (Unternehmensserviceportal) |
| PolenAbgelaufen am 3. Oktober 2026 | Ministry of Digital Affairs / CSIRTsSystem S46 |
| PortugalAbgelaufen am 15. September 2026 | CNCS (Centro Nacional de Cibersegurança) + CERT.PTMyCiber |
| RumänienAbgelaufen am 19. September 2025 | DNSC (Directoratul Național de Securitate Cibernetică)NIS2@RO Platform |
| SchwedenKeine Frist erfasst | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SEKein Portal erfasst, die Seite zum Land erklärt den Weg |
| SlowakeiKeine Frist erfasst | NBÚ (Národný bezpečnostný úrad)NBÚ NIS2 portal (nis2.nbu.gov.sk) |
| SlowenienAbgelaufen am 19. Dezember 2025 | URSIV (Information Security Agency)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| SpanienKeine Frist erfasst | CCN-CERT / INCIBENoch kein Portal |
| Tschechische RepublikAbgelaufen am 31. Dezember 2025 | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)Portál NÚKIB |
| UngarnKeine Frist erfasst | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)Kein Portal erfasst, die Seite zum Land erklärt den Weg |
| ZypernKeine Frist erfasst | DSA (Digital Security Authority)Noch kein Portal |
Wird Ihr Unternehmen erst später betroffen, etwa weil es wächst, beginnt die Frist in Deutschland und Polen an diesem Tag: drei Monate nach § 33 Abs. 1 BSIG, sechs Monate nach Art. 7c Abs. 1 des polnischen Gesetzes über das nationale Cybersicherheitssystem (KSC).
Alle Länder mit Gesetz und Stand der UmsetzungWas Sie jetzt tun, in fünf Schritten
Die Schritte sind in jedem Land dieselben. Nur Behörde, Portal und Frist unterscheiden sich.
Ihre Behörde finden
Zuständig ist der Staat, in dem Ihr Unternehmen niedergelassen ist (Art. 26 Abs. 1 NIS 2). Ausnahmen gelten unter anderem für Anbieter öffentlicher Kommunikationsnetze oder Kommunikationsdienste und für bestimmte digitale Anbieter, etwa von Cloud Computing oder Rechenzentrumsdiensten. Behörde und Portal stehen in der Tabelle oben.
Jetzt registrieren
Ist die Frist vorbei, registrieren Sie sich jetzt über das Portal Ihrer Behörde. Gefragt sind nach NIS 2 mindestens Name, Anschrift und aktuelle Kontaktdaten mit E-Mail, IP-Adressbereichen und Telefonnummern, Ihr Sektor und die Staaten der EU, in denen Sie diese Dienste erbringen (Art. 3 Abs. 4).
Festhalten, wann Sie gehandelt haben
Notieren Sie, wann Sie von der Pflicht erfahren haben, wann Sie sich registriert haben und mit welchem Zugang zum Portal. Dann können Sie später zeigen, wann Sie gehandelt haben.
Mit den Maßnahmen anfangen
Die Maßnahmen nach Art. 21 NIS 2 gelten für Ihr Unternehmen, weil es eine wesentliche oder wichtige Einrichtung ist (Art. 3), nicht wegen der Registrierung. In Deutschland heißen die wesentlichen Einrichtungen besonders wichtige. Bis wann die Maßnahmen umgesetzt sein müssen, regelt Ihr Land. Polen etwa gibt Unternehmen, die beim Inkrafttreten seines Gesetzes schon betroffen waren, zwölf Monate.
Die Geschäftsleitung einbinden
Die Leitung Ihres Unternehmens billigt die Maßnahmen, überwacht ihre Umsetzung und nimmt an Schulungen teil (Art. 20 NIS 2).
So geht das im Durchgang
Die Registrierung ist der erste Schritt im Durchgang auf nisd2.eu. Der Schritt kennt die Behörden aller Länder der EU.
Der Schritt erklärt in einfachen Worten, wozu die Registrierung dient.
Er zeigt, wo Sie sich registrieren: Ihr Land steht oben, mit seiner Behörde und dem Weg zum Portal.
Sie halten zwei Angaben fest: die Kennung Ihres Zugangs zum Portal und den Tag der Registrierung.
Geht es noch nicht, etwa weil ein Brief mit Ihrem Zugang fehlt, wählen Sie „Geht noch nicht“ und machen mit dem nächsten Schritt weiter.
Danach führt der Durchgang durch die Maßnahmen, einen Punkt nach dem anderen. Am Ende billigt Ihre Geschäftsleitung sie in der App.
Häufige Fragen
Bis wann muss ich mich für NIS2 registrieren?
Das regelt das Gesetz Ihres Landes. Die Tabelle oben zeigt die Frist für jedes Land der EU. In Deutschland registrieren Sie sich spätestens drei Monate, nachdem Ihr Unternehmen erstmals als Einrichtung gilt (§ 33 Abs. 1 BSIG). Für Unternehmen, die seit dem Inkrafttreten des BSIG am 6. Dezember 2025 betroffen sind, endete die Frist am 6. März 2026.
Kann ich mich nach Ablauf der Frist noch registrieren?
In Deutschland ja, über dasselbe Portal des BSI. Dort sind auch nach dem Stichtag weiter Registrierungen eingegangen: Die Bundesregierung nannte 19.058 bis zum 31. Juli 2026, das BSI zählte zum 30. September 2026 insgesamt 20.141. Für andere Länder fragen Sie die Behörde aus der Tabelle.
Gelten die anderen Pflichten erst nach der Registrierung?
Nein. NIS 2 knüpft die Maßnahmen (Art. 21) und die Pflichten der Leitung (Art. 20) daran, dass Ihr Unternehmen eine wesentliche oder wichtige Einrichtung ist (Art. 3), nicht an die Registrierung. Bis wann sie umgesetzt sein müssen, regelt Ihr Land.
Wir bieten Cloud oder Rechenzentren an oder betreuen die IT anderer Unternehmen. Wo registrieren wir uns?
In dem Staat, in dem Ihre Hauptniederlassung in der EU liegt (Art. 26 Abs. 1 Buchst. b NIS 2). Für diese Anbieter führt ENISA zusätzlich ein Register, gespeist aus den Angaben, die die Staaten weitergeben (Art. 27 Abs. 1). NIS 2 verpflichtete die Staaten, diese Angaben bis zum 17. Januar 2025 einzufordern (Art. 27 Abs. 2).
Unser Land steht ohne Frist in der Tabelle. Was heißt das?
Unsere Übersicht hat für dieses Land keine Frist erfasst. Das kann heißen, dass sein Gesetz noch nicht gilt, dass es keinen festen Tag nennt oder dass noch kein Portal bereitsteht. Die Seite zu Ihrem Land erklärt den Stand. Mit den Maßnahmen können Sie trotzdem anfangen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 3, 20, 21, 26 und 27 (https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- BSI-Gesetz (BSIG), § 33, in Kraft seit 6. Dezember 2025 (https://www.gesetze-im-internet.de/bsig_2025/__33.html)
- Polen: Gesetz vom 23. Januar 2026 zur Änderung des Gesetzes über das nationale Cybersicherheitssystem (KSC), Dz.U. 2026 poz. 252, Art. 1 mit Art. 7c KSC und Art. 33 (https://api.sejm.gov.pl/eli/acts/DU/2026/252/text.pdf)
- Deutscher Bundestag, Drucksache 21/7573 vom 10. August 2026, Antwort der Bundesregierung (https://dserver.bundestag.de/btd/21/075/2107573.pdf)
- BSI, NIS-2 in Zahlen, Auswertung zum 30.09.2026 (https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-in-Zahlen/nis-2-in-zahlen.html)
- Behörden, Portale und Fristen der Länder: unsere Übersicht der Registrierungsstellen, die je Land ihre Quellen nennt
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen, vor dem ersten Export oder der ersten Freigabe: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.