Kurz gesagt: Wer als besonders wichtige oder wichtige Einrichtung unter das NIS2-Umsetzungsgesetz fällt, muss sich spätestens drei Monate danach beim BSI registrieren (§ 33 BSIG). Die Registrierung läuft über das BSI Portal unter portal.bsi.bund.de. Registrierungs- und Meldepflichten gelten seit dem 6. Dezember 2025.
Stand: 03.11.2026
Wer muss sich beim BSI registrieren?
§ 33 Absatz 1 BSIG verpflichtet drei Gruppen zur Registrierung: besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister. Ob du dazugehörst, hängt vom Sektor (Anlage 1 und 2 des Gesetzes) und von der Unternehmensgröße ab. Betreiber kritischer Anlagen registrieren sich nach § 33 Absatz 2 zusätzlich nach dem KRITIS-Dachgesetz.
Fällst du nicht unter das Gesetz, musst du dich nicht registrieren. Du kannst dem BSI aber freiwillig Sicherheitsvorfälle melden. Wichtig ist, dass du die Betroffenheit einmal sauber prüfst und das Ergebnis dokumentierst. Dann kannst du im Zweifel belegen, warum du dich nicht registriert hast.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche Frist gilt für die Registrierung?
Das Gesetz nennt keinen festen Stichtag für alle, sondern eine relative Frist: Die Registrierung muss spätestens drei Monate nach dem Zeitpunkt erfolgen, ab dem ein Unternehmen erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Unternehmen, die schon beim Inkrafttreten betroffen waren, beginnt diese Frist mit dem Inkrafttreten. Laut BSI gelten die Registrierungs- und Meldepflichten seit dem 6. Dezember 2025. Wer erst später betroffen wird, etwa durch Wachstum über eine Größenschwelle oder durch ein neues Geschäftsfeld, hat ab diesem Zeitpunkt drei Monate.
Änderungen an den gemeldeten Angaben musst du nach § 33 Absatz 5 unverzüglich mitteilen, spätestens zwei Wochen nachdem du davon Kenntnis hast. Dazu gehören zum Beispiel eine neue Anschrift, ein neuer Ansprechpartner oder geänderte IP-Adressbereiche.
Wo und wie registriere ich mich?
Das BSI stellt gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eine Registrierungsmöglichkeit bereit. Laut BSI läuft die NIS2-Registrierung ausschließlich über das BSI Portal unter portal.bsi.bund.de. Das ältere Melde- und Informationsportal MIP2 wird dafür nicht genutzt, es bleibt nur für KRITIS-Betreiber und Bundesbehörden in der Übergangszeit der primäre Meldeweg.
- Prüfe die Betroffenheit und halte Sektor und Einrichtungsart nach Anlage 1 oder 2 BSIG fest.
- Lege fest, wer im Unternehmen die Registrierung verantwortet und das Portal künftig für Meldungen nutzt.
- Registriere das Unternehmen im BSI Portal unter portal.bsi.bund.de.
- Übermittle die Angaben nach § 33 Absatz 1 BSIG (siehe nächster Abschnitt).
- Nutze das Portal danach für alle Meldungen von Sicherheitsvorfällen. Das BSI legt die Einzelheiten des Verfahrens fest und veröffentlicht sie auf seiner Website.
Welche Angaben verlangt das BSI?
§ 33 Absatz 1 BSIG zählt auf, was du bei der Registrierung übermitteln musst:
- Name der Einrichtung einschließlich Rechtsform und, falls vorhanden, Handelsregisternummer
- Anschrift und aktuelle Kontaktdaten, darunter E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
- den relevanten Sektor und gegebenenfalls die Branche nach Anlage 1 oder 2
- eine Liste der EU-Mitgliedstaaten, in denen du Dienste der in Anlage 1 oder 2 genannten Art erbringst
- die für deine Tätigkeit zuständigen Aufsichtsbehörden des Bundes und der Länder
Die öffentlichen IP-Adressbereiche sind der Punkt, an dem viele Unternehmen hängen. Sammle vorher, welche festen IP-Adressen du bei Providern, für Webserver, Mailserver, VPN-Gateways und Cloud-Dienste nutzt. Wir stellen diese Liste für unsere Kunden aus der Dokumentation zusammen.
Was passiert, wenn ich mich nicht registriere?
Zwei Dinge regelt § 33 direkt. Erstens kann das BSI nach Absatz 3 die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vornehmen, wenn eine Einrichtung ihrer Pflicht nicht nachkommt. Zweitens muss die Einrichtung nach Absatz 4 auf Verlangen des BSI Unterlagen vorlegen und Auskunft geben, wenn Tatsachen die Annahme rechtfertigen, dass die Registrierungspflicht nicht erfüllt wird. Du gewinnst also nichts, wenn du abwartest. Die Registrierung selbst ist der kleinste Teil der NIS2-Umsetzung. Die eigentliche Arbeit steckt in den Risikomanagementmaßnahmen und der Meldefähigkeit bei Vorfällen.
So unterstützen wir dich
Wir prüfen mit dir, ob dein Unternehmen unter NIS2 fällt, stellen die Angaben für die Registrierung zusammen und setzen die technischen Maßnahmen um: Backup, Zugriffsschutz, Mehrfaktor-Anmeldung, Monitoring. Für Unternehmen in Osnabrück und Umgebung vor Ort, sonst per Fernwartung. Alles Weitere findest du auf unserer Seite NIS2 für Unternehmen.
Häufige Fragen
Gibt es einen festen Stichtag für die NIS2-Registrierung?
Nein. § 33 BSIG gibt drei Monate ab dem Zeitpunkt vor, ab dem ein Unternehmen als wichtige oder besonders wichtige Einrichtung gilt. Die Pflichten gelten laut BSI seit dem 6. Dezember 2025.
Kann ich mich über MIP2 registrieren?
Nein. Die NIS2-Registrierung läuft laut BSI ausschließlich über das BSI Portal unter portal.bsi.bund.de. MIP2 bleibt nur für KRITIS-Betreiber und Bundesbehörden in der Übergangszeit relevant.
Muss ich Änderungen nachmelden?
Ja. Änderungen der Registrierungsangaben sind unverzüglich zu melden, spätestens zwei Wochen nach Kenntnis.
Reicht die Registrierung, um NIS2 zu erfüllen?
Nein. Die Registrierung ist nur ein Baustein. Dazu kommen Risikomanagementmaßnahmen, Meldepflichten bei erheblichen Sicherheitsvorfällen und die Verantwortung der Geschäftsleitung.
Quellen
- § 33 BSIG Registrierungspflicht (Bundesministerium der Justiz, gesetze-im-internet.de, abgerufen am 03.11.2026)
- Information zur NIS2-Registrierung (BSI, abgerufen am 03.11.2026)
