BSI und NIS2: Registrierung, Meldestelle und Hilfen im Überblick
Bei NIS2 führt in Deutschland jeder Weg über das BSI: Registrierung, Meldungen, Leitfäden. Die erste Frist ist abgelaufen, und das BSI sagt es auf seiner Startseite ziemlich deutlich: jetzt registrieren. Hier steht, wie das geht und was du vorher bereitlegst.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Welche Rolle hat das BSI bei NIS2?
Das BSI ist die Aufsichtsbehörde für die meisten Einrichtungen, die unter das NIS2-Umsetzungsgesetz fallen. Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. Das BSI nimmt Registrierungen entgegen, betreibt gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die Meldestelle für Sicherheitsvorfälle, kann Nachweise anfordern und informiert betroffene Unternehmen mit Leitfäden, Videos und Checklisten.
Für dich als Unternehmen ist das BSI also drei Dinge zugleich: Anmeldestelle, Notrufnummer und Bibliothek. Ob du überhaupt betroffen bist, prüfst du mit der Betroffenheitsprüfung des BSI oder mit unserem NIS2-Check. Welche Pflichten dann gelten und was Verstöße kosten, steht auf unserer Seite NIS2.
Wichtig für den Zeitplan: Die Registrierung ist keine Formalie am Rand. Ohne Registrierung bekommst du keine Warnungen des BSI über das Portal, und eine versäumte Registrierung ist eine Ordnungswidrigkeit.
NIS2-Registrierung beim BSI in fünf Schritten
Zwei offizielle Schritte, davor und danach je ein Schritt, den viele vergessen. Ablauf laut BSI-Anleitung, Stand 14.11.2026.
Betroffenheit dokumentieren
Betroffenheitsprüfung des BSI durchführen, Ergebnis mit Datum ablegen. Bei Grenzfällen (Sektor, Größe, Konzernzugehörigkeit) rechtlich prüfen lassen.
ELSTER-Organisationszertifikat beantragen
Über den digitalen Dienst „Mein Unternehmenskonto“ (MUK). Ein Teil der Aktivierung läuft per Post, plane dafür Zeit ein. Wer schon eines für Steuerzwecke hat, prüft, ob es für die Einrichtung passt.
Im BSI-Portal anmelden
Auf portal.bsi.bund.de „Mit MUK anmelden“ wählen, Zertifikat hochladen, Passwort eingeben, Datenweitergabe bestätigen. Falsche Stammdaten änderst du in „Mein ELSTER“, nicht im Portal.
Einrichtung registrieren
Im NIS-2-Bereich „Zur NIS-2-Registrierung“ wählen und die Abfragen beantworten, etwa ob die Einrichtung eine Stelle des Bundes oder Betreiberin einer kritischen Anlage ist, dann die Angaben nach § 33 BSIG.
Änderungen im Blick behalten
Ändern sich Kontaktdaten, IP-Bereiche oder Sektor, musst du das binnen zwei Wochen melden (§ 33 Abs. 5 BSIG). Leg fest, wer dafür zuständig ist.
Diese Angaben verlangt § 33 BSIG
Lege die Daten vor dem Login bereit. Das spart Abbrüche mitten in der Registrierung.
- Name der Einrichtung mit Rechtsform und gegebenenfalls Handelsregisternummer.
- Anschrift und aktuelle Kontaktdaten, darunter E-Mail-Adresse, Telefonnummern und die öffentlichen IP-Adressbereiche.
- Sektor und gegebenenfalls Branche nach Anlage 1 oder 2 des BSIG.
- Liste der EU-Mitgliedstaaten, in denen die Einrichtung Dienste dieser Art erbringt.
- Zuständige Aufsichtsbehörden des Bundes und der Länder für die Tätigkeiten, wegen derer registriert wird.
Die öffentlichen IP-Adressbereiche sind der Punkt, an dem viele hängen bleiben: Sie stehen meist beim Internetanbieter oder Hoster. Frag dort rechtzeitig nach, auch für Cloud-Dienste mit festen Adressen.
Sicherheitsvorfälle über das BSI-Portal melden
Das BSI-Portal ist auch die Meldestelle. Erhebliche Sicherheitsvorfälle meldest du in Stufen: eine frühe Erstmeldung unverzüglich, spätestens nach 24 Stunden, mit dem Hinweis, ob ein Angriff oder grenzüberschreitende Folgen vermutet werden, eine Meldung mit erster Bewertung nach spätestens 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Auf Ersuchen des BSI kommen Zwischenmeldungen hinzu.
„Erheblich“ ist ein Vorfall laut BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere erheblich schädigt. Für einige digitale Dienste, etwa Cloud- und Rechenzentrumsanbieter, gelten die Kriterien der Durchführungsverordnung (EU) 2024/2690. Einrichtungen, die einen Vorfall vor ihrer Registrierung erleiden, melden laut BSI über ein Online-Formular.
Wie du einen Meldeprozess intern aufsetzt, mit Rollen und Vorlagen, steht unter NIS2 umsetzen.
Was das BSI dir sonst noch bietet
| Angebot | Wofür |
|---|---|
| Betroffenheitsprüfung | unverbindliche Ersteinschätzung, ob NIS2 gilt |
| Infopakete | Risikoanalyse, Lieferkette, Meldepflicht, kompakt erklärt |
| Curriculum Geschäftsleitung | Beispiel-Lehrplan für die Schulung nach § 38 BSIG, vorgestellt am 28.10.2026 |
| FAQ und Videos | Antworten auf Standardfragen, Registrierung im Video |
| Warnungen im Portal | Informationen zur Lage für registrierte Einrichtungen |
Wann du uns nicht brauchst
Die Registrierung selbst ist mit der BSI-Anleitung gut machbar, wenn das ELSTER-Zertifikat da ist und jemand die IP-Bereiche kennt. Dafür brauchst du keine Agentur. Wir helfen, wenn die Betroffenheit unklar ist und mit deiner Rechtsberatung geklärt werden muss, wenn nach der Registrierung die eigentliche Arbeit beginnt (Risikomanagement nach § 30, Meldeprozess, Schulung) oder wenn Websites und Software zu deinen kritischen Diensten gehören.
Häufige Fragen zu BSI und NIS2
Wie registriere ich mich beim BSI für NIS2?
In zwei Schritten: Zuerst beantragst du über „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat. Dann meldest du dich damit im BSI-Portal an, wechselst in den NIS-2-Bereich und registrierst die Einrichtung mit den Angaben nach § 33 BSIG, etwa Name, Rechtsform, Kontaktdaten, IP-Adressbereiche, Sektor und zuständige Aufsichtsbehörden.
Ist die NIS2-Registrierungsfrist abgelaufen?
Laut BSI ja: Die gesetzliche Registrierungsfrist ist bereits abgelaufen. Wer betroffen und noch nicht registriert ist, soll das umgehend nachholen. Für Einrichtungen, die erst später betroffen werden, gilt nach § 33 BSIG eine Frist von drei Monaten ab Beginn der Betroffenheit. Orientierung, keine Rechtsberatung.
Was passiert, wenn ich mich nicht registriere?
Eine versäumte Registrierung ist eine Ordnungswidrigkeit und kann mit einem Bußgeld geahndet werden. Außerdem kann das BSI die Registrierung im Einvernehmen mit der Aufsicht selbst vornehmen und Unterlagen anfordern, wenn Tatsachen darauf hindeuten, dass eine Einrichtung ihre Pflicht nicht erfüllt.
Wo melde ich einen Sicherheitsvorfall nach NIS2?
Über das BSI-Portal, das zugleich die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz ist. Die frühe Erstmeldung muss spätestens 24 Stunden nach Kenntnis erfolgen, die Meldung mit erster Bewertung nach 72 Stunden, die Abschlussmeldung einen Monat danach. Vor der Registrierung gibt es laut BSI ein Online-Formular.
Was brauche ich für das BSI-Portal?
Ein ELSTER-Organisationszertifikat mit Passwort, Zugang über „Mein Unternehmenskonto“ und die Daten nach § 33 BSIG: Name und Rechtsform, Handelsregisternummer, Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor, Mitgliedstaaten der Tätigkeit und zuständige Aufsichtsbehörden.
Quellen
- BSI: NIS-2-regulierte Unternehmen, abgerufen am 14.11.2026.
- BSI: Schritt-für-Schritt-Anleitung für die Registrierung im BSI-Portal, abgerufen am 14.11.2026.
- BSI: NIS-2-Meldepflicht, abgerufen am 14.11.2026.
- BSI: Curriculum für NIS2-Geschäftsleitungsschulung, 28.10.2026, abgerufen am 14.11.2026.
- § 32 BSIG (Meldepflichten) und § 33 BSIG (Registrierungspflicht), abgerufen am 14.11.2026.