Die Frist ist abgelaufen. Zum 31. Juli 2026 endete die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gesetzte Nachfrist zur Registrierung nach dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG).
Mehr als 19.000 der schätzungsweise betroffenen Einrichtungen haben sich demnach registriert. Das sei ein "grundsätzlich zufriedenstellender" Stand, wie das BSI auf ZFK-Anfrage mitteilte. Wie viele Einrichtungen insgesamt registrierungspflichtig sind, lässt das BSI derzeit durch das Statistische Bundesamt (Destatis) aktualisieren.
Fast 30.000 Unternehme betroffen
Bisherige Schätzungen von Destatis gingen von etwa 29.500 betroffenen Unternehmen aus. Aufgrund der großen Diskrepanz zu den Registrierungszahlen möchte das BSI nun überprüfen, ob diese Schätzungen zu hoch ausgefallen sind und tatsächlich weniger Firmen der NIS2-Pflicht unterliegen.
Das Gesetz gilt seit dem 6. Dezember 2025. Die ursprüngliche Registrierungsfrist lief bereits am 6. März 2026 ab. Zu diesem Zeitpunkt hatten Schätzungen zufolge rund 61 Prozent der Pflichtigen die Anmeldung noch nicht vorgenommen.
Das BSI reagierte mit einer Nachfrist, die am mittlerweile ebenfalls verstrichen ist. Zuletzt verzeichnete die Behörde nach eigenen Angaben einen "deutlich ansteigenden Zuwachs" an Registrierungen.
Stadtwerke vor besonderer Herausforderung
Für Stadtwerke und kommunale Versorgungsunternehmen ist die Lage besonders komplex. Sie fallen als Betreiber kritischer Infrastrukturen in besonders sensible NIS2-Sektoren. Dazu gehören etwa die Bereiche Energie, Wasser und Abwasser. Anders als in anderen Branchen müssen im Energiesektor auch kleinere Unternehmen ihre Betroffenheit selbst prüfen und sich registrieren, unabhängig von der Beschäftigtenzahl.
Genau diese Betroffenheitsprüfung ist nach Einschätzung des Verbandes kommunaler Unternehmen (VKU) der Hauptgrund für die Registrierungslücke. "Die komplexe Betroffenheitsanalyse, insbesondere von Mehrspartenunternehmen, ist aus unserer Sicht der Hauptgrund, warum Registrierungen so zurückhaltend vorgenommen wurden", sagte ein VKU-Sprecher der ZFK. "Nach zahlreichen Rückmeldungen unserer Mitglieder stellt die Prüfung eine erhebliche Herausforderung dar, sodass häufig externe Beratung in Anspruch genommen werden muss."
So könne es innerhalb eines Konzerns viele Untergesellschaften geben, die einen NIS2-Bezug hätten. Die Zuordnung sei entsprechend aufwendig. "Die Betroffenheitsprüfung ist so kompliziert, dass das ohne externe und gute anwaltliche Hilfe eigentlich kaum allein vorgenommen werden kann", ordnet der Sprecher ein.
BSI behält sich Bußgelder vor
Das BSI zeigte sich in seiner Einschätzung verhalten optimistisch, machte aber gleichzeitig deutlich, dass die Registrierungspflicht fortbesteht. Im Juni 2026 hatte die Behörde rund 140 Verbände angeschrieben, um auf die Pflichten hinzuweisen.
Offenbar mit Wirkung: Das BSI schloss aus den daraufhin eingegangenen Rückfragen, dass die Bereitschaft zur Registrierung "grundsätzlich flächendeckend vorhanden" sei, jedoch "weiterhin gezielter Informationsbedarf" bestehe.
An der gesetzlichen Verpflichtung ändert das nichts. "Das BSI erwartet von allen betroffenen Einrichtungen, dass sie die Prüfung ihrer Betroffenheit sowie die zweistufige Registrierung zeitnah und vollständig durchführen", teilte die Behörde mit. "Die gesetzlichen Fristen gelten unabhängig vom individuellen Umsetzungsaufwand." Ausdrücklich behält sich das BSI "bußgeldbewehrte Schritte" vor.
Das NIS2UmsuCG sieht Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor. Je nachdem, welcher Betrag höher ist. Darüber hinaus haften Geschäftsführerinnen und Geschäftsführer persönlich für die Einhaltung der Cybersicherheitspflichten.
Registrierung ist erst der Anfang
Der VKU fordert derweil das BSI zu einer aktiveren Rolle auf. "Die Unternehmen brauchen weiterhin und mehr Unterstützung", sagte der VKU-Sprecher. Die vorhandenen Materialien des BSI reichten angesichts der Komplexität nicht aus.
Die Registrierung selbst ist ohnehin nur der erste Schritt. Das NIS2UmsuCG verpflichtet betroffene Einrichtungen darüber hinaus zu technischen und organisatorischen Maßnahmen zur Absicherung ihrer Systeme, zur Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden sowie zum Aufbau eines Risikomanagements. Wer bereits bei der Registrierung ins Stocken geraten ist, dürfte bei der operativen Umsetzung vor noch größeren Herausforderungen stehen.
Für kommunale Unternehmen, die die Registrierung noch nicht abgeschlossen haben, bleibt die Empfehlung eindeutig: Die Anmeldung über das BSI-Meldeportal sollte unverzüglich nachgeholt werden. Und das unabhängig davon, wie die Behörde ihre Durchsetzungsmaßnahmen weiter ausgestaltet.
