> BSI und NIS2: Registrierung im BSI-Portal mit ELSTER-Zertifikat in fünf Schritten, Angaben nach § 33 BSIG, Meldungen an das BSI und seine Hilfsangebote. # BSI und NIS2: Registrierung, Meldestelle und Hilfen im Überblick Bei NIS2 führt in Deutschland jeder Weg über das BSI: Registrierung, Meldungen, Leitfäden. Die erste Frist ist abgelaufen, und das BSI sagt es auf seiner Startseite ziemlich deutlich: jetzt registrieren. Hier steht, wie das geht und was du vorher bereitlegst. [NIS2-Registrierung begleiten lassen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Zur Anleitung](https://mediabrandcast.com/leistungen/cybersecurity/nis2/bsi-nis2/#registrierung) Kurz gesagt Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist in Deutschland die zentrale Behörde für NIS2. Betroffene Einrichtungen müssen sich nach § 33 BSIG im BSI-Portal registrieren, und zwar in zwei Schritten: ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“, danach Registrierung im Portal. Laut BSI ist die gesetzliche Frist abgelaufen, wer betroffen ist, soll sich umgehend registrieren. Über dasselbe Portal laufen Meldungen erheblicher Sicherheitsvorfälle. Orientierung von mediabrandcast, keine Rechtsberatung. ## Welche Rolle hat das BSI bei NIS2? Das BSI ist die Aufsichtsbehörde für die meisten Einrichtungen, die unter das NIS2-Umsetzungsgesetz fallen. Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. Das BSI nimmt Registrierungen entgegen, betreibt gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die Meldestelle für Sicherheitsvorfälle, kann Nachweise anfordern und informiert betroffene Unternehmen mit Leitfäden, Videos und Checklisten. Für dich als Unternehmen ist das BSI also drei Dinge zugleich: Anmeldestelle, Notrufnummer und Bibliothek. Ob du überhaupt betroffen bist, prüfst du mit der Betroffenheitsprüfung des BSI oder mit unserem [NIS2-Check](https://mediabrandcast.com/tools/nis2-check/). Welche Pflichten dann gelten und was Verstöße kosten, steht auf unserer Seite [NIS2](https://mediabrandcast.com/leistungen/cybersecurity/nis2/). Wichtig für den Zeitplan: Die Registrierung ist keine Formalie am Rand. Ohne Registrierung bekommst du keine Warnungen des BSI über das Portal, und eine versäumte Registrierung ist eine Ordnungswidrigkeit. ## NIS2-Registrierung beim BSI in fünf Schritten Zwei offizielle Schritte, davor und danach je ein Schritt, den viele vergessen. Ablauf laut BSI-Anleitung, Stand 14.11.2026. ### Betroffenheit dokumentieren Betroffenheitsprüfung des BSI durchführen, Ergebnis mit Datum ablegen. Bei Grenzfällen (Sektor, Größe, Konzernzugehörigkeit) rechtlich prüfen lassen. ### ELSTER-Organisationszertifikat beantragen Über den digitalen Dienst „Mein Unternehmenskonto“ (MUK). Ein Teil der Aktivierung läuft per Post, plane dafür Zeit ein. Wer schon eines für Steuerzwecke hat, prüft, ob es für die Einrichtung passt. ### Im BSI-Portal anmelden Auf portal.bsi.bund.de „Mit MUK anmelden“ wählen, Zertifikat hochladen, Passwort eingeben, Datenweitergabe bestätigen. Falsche Stammdaten änderst du in „Mein ELSTER“, nicht im Portal. ### Einrichtung registrieren Im NIS-2-Bereich „Zur NIS-2-Registrierung“ wählen und die Abfragen beantworten, etwa ob die Einrichtung eine Stelle des Bundes oder Betreiberin einer kritischen Anlage ist, dann die Angaben nach § 33 BSIG. ### Änderungen im Blick behalten Ändern sich Kontaktdaten, IP-Bereiche oder Sektor, musst du das binnen zwei Wochen melden (§ 33 Abs. 5 BSIG). Leg fest, wer dafür zuständig ist. ## Diese Angaben verlangt § 33 BSIG Lege die Daten vor dem Login bereit. Das spart Abbrüche mitten in der Registrierung. - Name der Einrichtung mit Rechtsform und gegebenenfalls Handelsregisternummer. - Anschrift und aktuelle Kontaktdaten, darunter E-Mail-Adresse, Telefonnummern und die öffentlichen IP-Adressbereiche. - Sektor und gegebenenfalls Branche nach Anlage 1 oder 2 des BSIG. - Liste der EU-Mitgliedstaaten, in denen die Einrichtung Dienste dieser Art erbringt. - Zuständige Aufsichtsbehörden des Bundes und der Länder für die Tätigkeiten, wegen derer registriert wird. Die öffentlichen IP-Adressbereiche sind der Punkt, an dem viele hängen bleiben: Sie stehen meist beim Internetanbieter oder Hoster. Frag dort rechtzeitig nach, auch für Cloud-Dienste mit festen Adressen. Fakten - „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Betroffene sollen sich umgehend im BSI-Portal registrieren. Quelle: [BSI, NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html), abgerufen am 14.11.2026 - Registrierung spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit, Änderungen binnen zwei Wochen. Quelle: [§ 33 BSIG](https://www.gesetze-im-internet.de/bsig_2025/__33.html), abgerufen am 14.11.2026 - Meldung erheblicher Sicherheitsvorfälle: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung einen Monat danach. Quelle: [§ 32 BSIG](https://www.gesetze-im-internet.de/bsig_2025/__32.html), abgerufen am 14.11.2026 - Schwachstellen (keine Sicherheitsvorfälle) lassen sich im Portal anonym und ohne Registrierung melden. Quelle: [BSI, Anleitung Registrierung](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Anleitung-Registrierung/Anleitung-Registrierung_node.html), abgerufen am 14.11.2026 ## Sicherheitsvorfälle über das BSI-Portal melden Das BSI-Portal ist auch die Meldestelle. Erhebliche Sicherheitsvorfälle meldest du in Stufen: eine frühe Erstmeldung unverzüglich, spätestens nach 24 Stunden, mit dem Hinweis, ob ein Angriff oder grenzüberschreitende Folgen vermutet werden, eine Meldung mit erster Bewertung nach spätestens 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Auf Ersuchen des BSI kommen Zwischenmeldungen hinzu. „Erheblich“ ist ein Vorfall laut BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere erheblich schädigt. Für einige digitale Dienste, etwa Cloud- und Rechenzentrumsanbieter, gelten die Kriterien der Durchführungsverordnung (EU) 2024/2690. Einrichtungen, die einen Vorfall vor ihrer Registrierung erleiden, melden laut BSI über ein Online-Formular. Wie du einen Meldeprozess intern aufsetzt, mit Rollen und Vorlagen, steht unter [NIS2 umsetzen](https://mediabrandcast.com/leistungen/cybersecurity/nis2/nis2-umsetzung/). ## Was das BSI dir sonst noch bietet Angebote des BSI zu NIS2, Auswahl von mediabrandcast, Stand 14.11.2026 | Angebot | Wofür | |---|---| | Betroffenheitsprüfung | unverbindliche Ersteinschätzung, ob NIS2 gilt | | Infopakete | Risikoanalyse, Lieferkette, Meldepflicht, kompakt erklärt | | Curriculum Geschäftsleitung | Beispiel-Lehrplan für die Schulung nach § 38 BSIG, vorgestellt am 28.10.2026 | | FAQ und Videos | Antworten auf Standardfragen, Registrierung im Video | | Warnungen im Portal | Informationen zur Lage für registrierte Einrichtungen | ## Wann du uns nicht brauchst Die Registrierung selbst ist mit der BSI-Anleitung gut machbar, wenn das ELSTER-Zertifikat da ist und jemand die IP-Bereiche kennt. Dafür brauchst du keine Agentur. Wir helfen, wenn die Betroffenheit unklar ist und mit deiner Rechtsberatung geklärt werden muss, wenn nach der Registrierung die eigentliche Arbeit beginnt (Risikomanagement nach § 30, Meldeprozess, Schulung) oder wenn Websites und Software zu deinen kritischen Diensten gehören. ## Häufige Fragen zu BSI und NIS2 ### Wie registriere ich mich beim BSI für NIS2? In zwei Schritten: Zuerst beantragst du über „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat. Dann meldest du dich damit im BSI-Portal an, wechselst in den NIS-2-Bereich und registrierst die Einrichtung mit den Angaben nach § 33 BSIG, etwa Name, Rechtsform, Kontaktdaten, IP-Adressbereiche, Sektor und zuständige Aufsichtsbehörden. ### Ist die NIS2-Registrierungsfrist abgelaufen? Laut BSI ja: Die gesetzliche Registrierungsfrist ist bereits abgelaufen. Wer betroffen und noch nicht registriert ist, soll das umgehend nachholen. Für Einrichtungen, die erst später betroffen werden, gilt nach § 33 BSIG eine Frist von drei Monaten ab Beginn der Betroffenheit. Orientierung, keine Rechtsberatung. ### Was passiert, wenn ich mich nicht registriere? Eine versäumte Registrierung ist eine Ordnungswidrigkeit und kann mit einem Bußgeld geahndet werden. Außerdem kann das BSI die Registrierung im Einvernehmen mit der Aufsicht selbst vornehmen und Unterlagen anfordern, wenn Tatsachen darauf hindeuten, dass eine Einrichtung ihre Pflicht nicht erfüllt. ### Wo melde ich einen Sicherheitsvorfall nach NIS2? Über das BSI-Portal, das zugleich die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz ist. Die frühe Erstmeldung muss spätestens 24 Stunden nach Kenntnis erfolgen, die Meldung mit erster Bewertung nach 72 Stunden, die Abschlussmeldung einen Monat danach. Vor der Registrierung gibt es laut BSI ein Online-Formular. ### Was brauche ich für das BSI-Portal? Ein ELSTER-Organisationszertifikat mit Passwort, Zugang über „Mein Unternehmenskonto“ und die Daten nach § 33 BSIG: Name und Rechtsform, Handelsregisternummer, Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor, Mitgliedstaaten der Tätigkeit und zuständige Aufsichtsbehörden. ## Quellen 1. [BSI: NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html), abgerufen am 14.11.2026. 2. [BSI: Schritt-für-Schritt-Anleitung für die Registrierung im BSI-Portal](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Anleitung-Registrierung/Anleitung-Registrierung_node.html), abgerufen am 14.11.2026. 3. [BSI: NIS-2-Meldepflicht](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Meldepflicht/NIS-2-Meldepflicht_node.html), abgerufen am 14.11.2026. 4. [BSI: Curriculum für NIS2-Geschäftsleitungsschulung](https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/NIS-2-Curriculum-CEO-Schulung_261028.html), 28.10.2026, abgerufen am 14.11.2026. 5. [§ 32 BSIG (Meldepflichten)](https://www.gesetze-im-internet.de/bsig_2025/__32.html) und [§ 33 BSIG (Registrierungspflicht)](https://www.gesetze-im-internet.de/bsig_2025/__33.html), abgerufen am 14.11.2026. Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) [NIS2 mit uns angehen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/)