Was gilt
Betroffene Einrichtungen mussten sich beim BSI registrieren — die Nachfrist ist am 31. Juli 2026 abgelaufen. Wer jetzt noch nicht registriert ist, verletzt eine laufende Pflicht: Sie verschwindet nicht, sie wird jeden Tag dringlicher.
Wichtig: Die Betroffenheit stellt niemand per Bescheid fest. Sie sind selbst verpflichtet zu prüfen, ob Ihr Unternehmen unter § 28 BSIG fällt — und die Registrierung nachzuholen (§ 33 BSIG). Eine späte freiwillige Registrierung ist dabei in jedem realistischen Szenario besser als eine, die die Aufsicht erzwingt.
Wen es betrifft
Unternehmen ab ca. 50 Mitarbeitenden oder 10 Mio. € Umsatz in den regulierten Sektoren — von IT und Energie über Transport und Gesundheit bis Produktion und Chemie.
Fallbeispiel (fiktiv): Der Zulieferer, den der Kunde meldete
Ein Maschinenbauer (120 Mitarbeitende) hält sich nicht für betroffen — „wir sind doch keine kritische Infrastruktur“. Sein größter Kunde, ein Energieversorger, führt 2026 ein Lieferketten-Audit nach § 30 BSIG durch und fragt die NIS2-Registrierungsnummer ab.
Es gibt keine. Der Energieversorger meldet die Lücke pflichtgemäß in seinem eigenen Risikobericht; der Maschinenbauer registriert sich unter Zeitdruck nach — und arbeitet die Maßnahmenliste jetzt unter Beobachtung von Kunde und Behörde ab, statt in eigenem Tempo.
Die Risiken, nüchtern eingeordnet
Bußgeld für die fehlende Registrierung
Die unterlassene Registrierung ist eine Ordnungswidrigkeit. Der Rahmen steht in § 65 BSIG: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bei besonders wichtigen, bis zu 7 Mio. € oder 1,4 % bei wichtigen Einrichtungen — jeweils der höhere der beiden Werte.
Persönliche Haftung der Geschäftsleitung
§ 38 BSIG nimmt Geschäftsführer persönlich in die Pflicht — Billigung, Überwachung, eigene Schulung. Rückversicherung auf „wusste ich nicht“ gibt es nicht.
Sichtbarkeit über die Lieferkette
Registrierte Kunden müssen ihre Lieferanten prüfen — Ihre Lücke taucht in fremden Audits auf, bevor die Aufsicht sie findet.
Ihre nächsten Schritte
- 01Betroffenheit nach § 28 BSIG dokumentiert prüfen (Sektor + Größe)
- 02Registrierung über das BSI-Portal nachholen, Kontaktstelle benennen
- 03Parallel mit den Kernmaßnahmen starten — die 24-h-Meldepflicht gilt ab sofort
In Compliverse
Genau diese Schritte erzeugt der Kompass automatisch als Maßnahmen in Ihrem Plan — mit Fristen, Zuständigkeiten und Nachweisen.
Produkt-Klartext, kein Rechtsrat · Fallbeispiele sind fiktiv · Bußgeldrahmen laut Rechtsakt („bis zu“)