BSI und NIS2: Registrierung, Aufsicht und Ihre Pflichten im Überblick

Die NIS2-Richtlinie bringt für rund 29.500 Unternehmen in Deutschland neue Pflichten. Die zentrale Behörde dahinter ist das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Es registriert betroffene Einrichtungen, beaufsichtigt deren Maßnahmen und kann bei Verstößen Anordnungen treffen. Dieser Artikel erklärt, was das BSI im NIS2-Kontext darf und fordert, wie der Registrierungsprozess funktioniert und welche BSI-Ressourcen Unternehmen bei der Umsetzung helfen.

Das BSI als NIS2-Aufsichtsbehörde

Das BSI ist die zentrale Aufsichtsbehörde für NIS2 in Deutschland. Es übernimmt diese Rolle durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das die europäische NIS2-Richtlinie in deutsches Recht überführt. Konkret beaufsichtigt das BSI alle Einrichtungen, die unter die NIS2-Regulierung fallen.

Für die Aufsicht gibt es eine wichtige Unterscheidung: Bei besonders wichtigen Einrichtungen (z.B. Energie, Transport, Gesundheit, digitale Infrastruktur ab 250 Mitarbeitende oder 50 Mio. € Umsatz) beaufsichtigt das BSI direkt und proaktiv. Es darf auch ohne konkreten Anlass prüfen. Bei wichtigen Einrichtungen (z.B. verarbeitendes Gewerbe, Post, Abfallwirtschaft ab 50 Mitarbeitende oder 10 Mio. € Umsatz) wird das BSI nur tätig, wenn es Hinweise auf Verstöße gibt.

Im Vergleich zur DSGVO-Aufsicht durch die Datenschutzbehörden der Länder ist die NIS2-Aufsicht zentralisiert. Es gibt eine Anlaufstelle: das BSI in Bonn. Das vereinfacht die Kommunikation, bedeutet aber auch, dass das BSI bundesweit einheitliche Standards durchsetzt. Ob Ihr Unternehmen betroffen ist, können Sie mit der BSI-Betroffenheitsprüfung herausfinden.

Registrierungspflicht: Wer muss sich beim BSI registrieren?

Alle besonders wichtigen und wichtigen Einrichtungen müssen sich beim BSI registrieren. Die Frist beträgt drei Monate nach Inkrafttreten des NIS2UmsuCG (§33 NIS2UmsuCG). Bei der Registrierung müssen Unternehmen grundlegende Angaben machen: Name und Rechtsform, Kontaktdaten inklusive E-Mail und Telefon, IP-Adressbereiche, Sektor und Branche sowie ob sie als besonders wichtige oder wichtige Einrichtung gelten.

Wer sich nicht registriert, riskiert Bußgelder. Das BSI kann Unternehmen, die ihre Registrierungspflicht ignorieren, mit Sanktionen belegen. Eine verspätete Registrierung ist besser als keine, denn sie zeigt dem BSI, dass das Unternehmen reagiert hat. Wer noch nicht weiß, ob er betroffen ist, sollte die BSI-Betroffenheitsprüfung unter betroffenheitspruefung-nis-2.bsi.de nutzen.

Registrierungsprozess: Schritt-für-Schritt-Anleitung

Die Registrierung beim BSI erfolgt in zwei Hauptschritten. Seit März 2026 ist der zweite Schritt (BSI-Portal) freigeschaltet, nachdem zunächst nur die ELSTER-Authentifizierung verfügbar war.

Typische Stolpersteine bei der Registrierung: Die häufigsten Probleme betreffen das ELSTER-Zertifikat. Viele Unternehmen haben zwar ein persönliches ELSTER-Zertifikat für die Steuererklärung, aber kein Organisationszertifikat. Das sind zwei verschiedene Dinge. Außerdem unterschätzen Unternehmen die Zeit für die interne Datenbeschaffung: IP-Adressbereiche, die korrekte Sektorzuordnung und die Benennung einer Kontaktperson für Sicherheitsvorfälle erfordern Abstimmung zwischen IT, Compliance und Geschäftsleitung.

Aufsichtsmaßnahmen: Was darf das BSI? (§61-62)

Die Aufsichtsbefugnisse des BSI sind im NIS2UmsuCG klar geregelt (§61-62). Die Behörde agiert dabei nicht als Strafbehörde, sondern als Kooperationspartner, der die Cybersicherheitslage in Deutschland verbessern will. Trotzdem hat das BSI weitreichende Instrumente zur Verfügung.

Die wichtigste Erkenntnis: Besonders wichtige Einrichtungen stehen unter ständiger Aufsicht. Das BSI kann jederzeit Auskunft verlangen und Prüfungen durchführen, ohne dass ein Vorfall vorliegen muss. Wichtige Einrichtungen werden nur anlassbezogen geprüft. In beiden Fällen gilt: Kooperation mit dem BSI wird besser bewertet als Verweigerung. Wer haftet und welche Bußgelder im Detail drohen, erfahren Sie unter NIS2-Geschäftsführerhaftung.

"Die BSI-Registrierung ist nicht das Ziel, sondern der Startschuss. Danach beginnt die eigentliche Arbeit: Risikomanagement aufbauen, Meldeprozesse etablieren und Nachweisfähigkeit sicherstellen. Unternehmen, die das als einmaligen Verwaltungsakt behandeln, werden beim ersten BSI-Auskunftsersuchen Schwierigkeiten bekommen."

Anne Hillmer, Information Security Expert bei SECJUR

BSI-Orientierungshilfe und Open KRITIS

Das BSI stellt Unternehmen eine Reihe von Ressourcen zur Verfügung, die den Einstieg in die NIS2-Umsetzung erleichtern. Die wichtigsten im Überblick.

NIS2-Starterpaket. Unter dem Hashtag #nis2know hat das BSI ein Starterpaket veröffentlicht, das den Einstieg in sechs Phasen gliedert: von der Betroffenheitsprüfung über die Risikoanalyse bis zur Meldepflicht-Vorbereitung. Die Materialien sind kostenlos auf bsi.bund.de verfügbar und eignen sich als erster Orientierungsrahmen.

Betroffenheitsprüfung. Unter betroffenheitspruefung-nis-2.bsi.de bietet das BSI ein Online-Tool an, mit dem Unternehmen prüfen können, ob sie als besonders wichtige oder wichtige Einrichtung gelten. Die Prüfung berücksichtigt Sektor, Unternehmensgröße und Umsatz.

Open KRITIS. Neben den offiziellen BSI-Ressourcen bietet openkritis.de eine redaktionelle Aufbereitung der NIS2-Anforderungen. Die Plattform ist kein BSI-Angebot, aber ein anerkanntes Fachportal, das Gesetze, Verordnungen und BSI-Empfehlungen verständlich zusammenfasst. Für Praktiker, die eine Orientierung neben den offiziellen Quellen suchen, ist Open KRITIS eine nützliche Ergänzung.

Prüfungen und Audits durch das BSI

Ab drei Jahren nach Inkrafttreten des NIS2UmsuCG kann das BSI von besonders wichtigen Einrichtungen Nachweise über die Umsetzung der Risikomanagementmaßnahmen verlangen (§39 NIS2UmsuCG). Diese Nachweise können Ergebnisse von Sicherheitsaudits, Zertifizierungen (z.B. ISO 27001) oder vergleichbare Bewertungen sein. Das BSI legt die Kriterien fest und kann Unternehmen auffordern, ihre Compliance zu belegen.

Für wichtige Einrichtungen gilt die Nachweispflicht ebenfalls, allerdings erst bei konkretem Anlass. In der Praxis empfiehlt es sich, die Nachweise nicht erst bei einer Anfrage des BSI zusammenzustellen, sondern kontinuierlich zu pflegen. Wer ein ISMS betreibt, hat die Dokumentation bereits: Risikobewertungen, Maßnahmenpläne, Schulungsnachweise und Audit-Ergebnisse liegen zentral vor.

ISMS-Plattformen wie SECJUR Digital Compliance Office können die Vorbereitungszeit auf BSI-Prüfungen um bis zu 50 % verkürzen, weil Nachweise, Richtlinien und Risikobewertungen zentral dokumentiert und jederzeit abrufbar sind. Statt bei einer BSI-Anfrage Dokumente aus verschiedenen Abteilungen zusammenzusuchen, exportieren Sie den aktuellen Stand aus einem System.

Die genauen Fristen und Eskalationsstufen bei Sicherheitsvorfällen beschreiben wir unter Meldepflichten und Fristen. Zur Schulungspflicht für die Geschäftsleitung (§38 Abs. 3 NIS2UmsuCG) gilt: Die Geschäftsleitung muss sich regelmäßig schulen lassen und die Umsetzung der Maßnahmen überwachen. Das BSI kann den Nachweis dieser Schulungen verlangen.

Fazit: Das BSI und die NIS2 Richtlinie arbeiten gemeinsam an mehr Cybersicherheit

‍

Das BSI hat die Gewährleistung der Cybersicherheit in Deutschland zum Ziel. Durch die Umsetzung der NIS2 Richtlinie erhält das BSI voraussichtlich erweiterte Befugnisse. Zudem verfolgt das BSI einen kooperativen Ansatz bei der Bekämpfung von Cyberkriminalität, indem es die Zusammenarbeit von Wirtschaft und Gesetzgeber fördert.

Das BSI fungiert des Weiteren als zentrale Meldestelle für IT-Sicherheitsvorfälle, unterstützt bei der Bewältigung von IT-Krisen und berät Wirtschaft, Wissenschaft und die Bevölkerung.

Mit der Umsetzung der NIS2 Richtlinie soll das BSI über erweiterte Befugnisse verfügen, darunter die Überwachung und Beratung von kritischen Infrastrukturen und die Verhängung von Sanktionen gegen diese. So kann das BSI bei Verstößen höhere Bußgelder verhängen, um Unternehmen zur Einhaltung der Sicherheitsanforderungen anzuregen.

Diese neuen Befugnisse des BSI können Unternehmen vor große Herausforderungen stellen, besonders im Zusammenhang mit der temporären Absetzung der Unternehmensleitung. Trotz dieser Herausforderungen plant das BSI, weiterhin eine zentrale Rolle bei der Gewährleistung der Cybersicherheit in Deutschland zu spielen und seinen kooperativen Ansatz bei der Bekämpfung von Cyberbedrohungen fortzusetzen.  

‍

„Es braucht einen intensiven Austausch von Informationen und koordiniertes Handeln, um Bedrohungen aus dem Cyberraum erfolgreich zu begegnen. Deshalb müssen Bund und Länder diesen Gefahren gemeinsam entgegen treten. Ein starker Partner ist dabei das BSI. Es warnt nicht nur vor möglichen Bedrohungen und Gefährdungen, sondern sorgt mit den anderen Sicherheitsbehörden für verlässliche Cybersicherheit.“ Nancy Faeser, Bundesministerin des Inneren und für Heimat

‍

Die Zukunft der Cybersicherheit in Deutschland hängt somit zu einem großen Teil von der kontinuierlichen Anstrengung des BSI und seiner Zusammenarbeit mit anderen Akteuren in Staat, Wirtschaft und Gesellschaft ab.