NIS2 Registrierung: so melden Sie Ihr Unternehmen beim BSI an
Betroffene Unternehmen registrieren sich im Portal des BSI (§ 33 BSIG). Vorher brauchen Sie ein Organisationszertifikat von ELSTER, das per Brief aktiviert wird. Für Unternehmen, die seit Dezember 2025 betroffen sind, endete die Frist am 6. März 2026. Wer sie verpasst hat, registriert sich jetzt: Die Pflicht bleibt bestehen.
Programme und Mitgliedschaften
Wer sich registrieren muss
Jede besonders wichtige und jede wichtige Einrichtung (§ 33 Abs. 1 BSIG). So nennt das Gesetz die Unternehmen, für die NIS 2 gilt.
Ob Ihr Unternehmen dazugehört, hängt von seinem Sektor und seiner Größe ab (§ 28 BSIG). Die Sektoren stehen in den Anlagen 1 und 2 des BSIG. Ein Unternehmen in diesen Sektoren ist eine wichtige Einrichtung, wenn es mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Bilanzsumme von jeweils über 10 Millionen Euro.
Das BSI bietet eine Betroffenheitsprüfung an, die durch die Fragen führt. Ihr Ergebnis ist laut BSI nicht rechtlich bindend.
Die Frist
Sie registrieren sich spätestens drei Monate, nachdem Ihr Unternehmen erstmals als Einrichtung gilt (§ 33 Abs. 1 BSIG).
Das BSIG gilt seit dem 6. Dezember 2025. Für Unternehmen, die seitdem betroffen sind, endete die Frist am 6. März 2026.
Wird Ihr Unternehmen erst später betroffen, etwa weil es wächst, laufen die drei Monate ab diesem Zeitpunkt.
So registrieren Sie sich, Schritt für Schritt
Die Registrierung hat zwei Stufen: zuerst ein Zugang bei ELSTER, dann die Anmeldung im Portal des BSI.
Prüfen, ob Sie betroffen sind
Klären Sie Sektor, Zahl der Beschäftigten und Umsatz (§ 28 BSIG). Die Betroffenheitsprüfung des BSI hilft dabei. Bei Grenzfällen hilft eine rechtliche Prüfung.
Ein Organisationszertifikat bei ELSTER beantragen
Das geht über „Mein Unternehmenskonto“ (mein-unternehmenskonto.de). Sie brauchen dafür eine deutsche Steuernummer. Die Zugangsdaten kommen per E-Mail, der Aktivierungscode per Brief an die Adresse, die zur Steuernummer gespeichert ist. Laut BSI dauert die Zustellung regelmäßig mindestens fünf Werktage.
Die Angaben bereitlegen
Name, Anschrift, Rechtsform und Registerdaten übernimmt das Portal aus Ihrem Unternehmenskonto. Dazu kommen nach § 33 Abs. 1 BSIG: E-Mail und Telefonnummern, Ihre öffentlichen IP-Adressbereiche, Ihr Sektor, die EU-Staaten, in denen Sie solche Dienste erbringen, und Ihre zuständigen Aufsichtsbehörden.
Im Portal des BSI registrieren
Sie melden sich mit dem Zertifikat im Portal des BSI an (portal.bsi.bund.de) und füllen das Formular aus. Wer die Einrichtung registriert, wird automatisch ihr Verwalter und kann Kollegen einladen.
Festhalten und Zugänge verteilen
Notieren Sie, an welchem Tag und mit welchem Zertifikat Sie sich registriert haben. Geben Sie den Leuten Zugang, die im Ernstfall Vorfälle melden. Jede Person braucht ein eigenes Zertifikat und muss im Portal Ihrer Einrichtung zugeordnet sein.
So geht das im Durchgang
Die Registrierung ist der erste Schritt im Durchgang auf nisd2.eu.
Der Schritt erklärt in einfachen Worten, wozu die Registrierung dient und wie Sie über ELSTER ins Portal des BSI kommen.
Er zeigt, in welchem EU-Staat Sie sich registrieren, mit der Behörde und ihrem Portal.
Sie halten zwei Angaben fest: die Kennung Ihres Benutzerkontos und den Tag der Registrierung.
Ist der Brief von ELSTER noch nicht da, wählen Sie „Geht noch nicht“ und machen mit dem nächsten Schritt weiter.
Ein späterer Schritt zeigt, welche Ihrer Angaben sich ändern können.
Was nach der Registrierung kommt
§ 33 BSIG sieht nach der Registrierung keinen Bescheid und keinen weiteren Schritt des BSI vor. Rechnen Sie also nicht mit einer Aufforderung, anzufangen.
Die anderen Pflichten gelten trotzdem. Sie gelten, weil Ihr Unternehmen eine Einrichtung ist. Die Registrierung ändert daran nichts.
- Sicherheitsmaßnahmen in zehn Bereichen umsetzen und festhalten (§ 30 BSIG).
- Erhebliche Sicherheitsvorfälle melden, die erste Meldung binnen 24 Stunden (§ 32 BSIG).
- Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil (§ 38 BSIG).
- Ändern sich Ihre Angaben, melden Sie das dem BSI binnen zwei Wochen (§ 33 Abs. 5 BSIG).
Frist verpasst? Das tun Sie jetzt
- 1Registrieren Sie sich jetzt. Die Pflicht endet nicht mit der Frist.
- 2Notieren Sie, wann Sie von der Pflicht erfahren und wann Sie sich registriert haben.
- 3Hatte Ihr Unternehmen schon vor der Registrierung einen erheblichen Sicherheitsvorfall? Melden Sie ihn trotzdem, über ein Formular im Melde- und Informationsportal (MIP) des BSI.
- 4Fangen Sie mit den Maßnahmen an. Sie gelten unabhängig von der Registrierung.
Häufige Fragen
Kann ich mich nach dem 6. März 2026 noch registrieren?
Ja. Die Frist sagt, bis wann Sie sich registrieren mussten. Die Pflicht selbst endet nicht. Sie registrieren sich über dasselbe Portal des BSI.
Bekomme ich einen Bescheid oder eine Registrierungsnummer?
§ 33 BSIG sieht keinen Bescheid vor. Halten Sie selbst fest, wann und mit welchem Zertifikat Sie sich registriert haben. Bei Vorfallmeldungen ist das anders: Dort bestätigt das BSI den Eingang, nach Möglichkeit binnen 24 Stunden (§ 36 Abs. 1 BSIG).
Gelten die anderen Pflichten erst nach der Registrierung?
Nein. Maßnahmen (§ 30 BSIG), Meldepflicht (§ 32 BSIG) und die Pflichten der Geschäftsleitung (§ 38 BSIG) gelten, sobald Ihr Unternehmen eine Einrichtung ist. Die Registrierung ist eine Pflicht neben den anderen.
Wir sind nicht sicher, ob wir betroffen sind. Was nun?
Nutzen Sie die Betroffenheitsprüfung des BSI und lassen Sie Grenzfälle rechtlich prüfen. Grenzfälle sind etwa eine Größe nahe der Schwelle, ein Geschäft, das zu mehreren Sektoren passen könnte, oder eine Gruppe mit verbundenen Unternehmen (§ 28 Abs. 3 und 4 BSIG).
Wir haben Standorte in anderen EU-Staaten. Wo registrieren wir uns?
Grundsätzlich ist der Staat zuständig, in dem Ihr Unternehmen niedergelassen ist (Art. 26 Abs. 1 NIS 2). Für bestimmte digitale Anbieter zählt die Hauptniederlassung. Die Behörden aller EU-Staaten stehen in unserer Übersicht der Registrierungsstellen.
Quellen
- BSI-Gesetz (BSIG), §§ 28, 30, 32, 33, 36 und 38, Anlagen 1 und 2, in Kraft seit 6. Dezember 2025 (gesetze-im-internet.de/bsig_2025)
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 3 Abs. 4 und Art. 26 (eur-lex.europa.eu)
- BSI, Festlegung der Einzelheiten zum Registrierungsverfahren nach § 33 Abs. 6 BSIG, Version 1.0 vom 26.06.2026 (bsi.bund.de/dok/registrierungspflicht)
- BSI, Mein Unternehmenskonto (bsi.bund.de/dok/muk)
- BSI, Meldepflicht nach NIS 2: Meldung vor der Registrierung (bsi.bund.de/dok/nis-2-meldepflicht)
- BSI, Hilfe zur Betroffenheitsprüfung (betroffenheitspruefung-nis-2.bsi.de)
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Registrierung & Meldung
Die Registrierung aktuell halten
Ändert sich etwas, tragen Sie es beim BSI nach.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.