Es gibt wohl ein Problem mit der Zahl der Firmen, die sich als unter NIS2 fallend beim BSI registriert haben. Erwartet wurde, dass sich rund 29.500 Unternehmen registrieren. Bis zum ursprünglichen Stichtag im März 2026 hat sich aber nur ein Bruchteil der Unternehmen am Portal des BSI gemeldet. Die Frist wurde bis 31. Juli 2026 verlängert, aber es scheint weiterhin eine NIS2-Registrierungslücke zu geben.
Wofür steht NIS2?
NIS steht für steht für Network and Information Security. Die NIS-2-Richtlinie (nachfolgend kurz als NIS2 bezeichnet) der Europäischen Union legt verbindliche Cyber Security-Mindeststandards für Betreiber kritischer Infrastrukturen (KRITIS) fest. Ziel der Richtlinie ist die Stärkung von Risiko- und Sicherheitsvorfallmanagement und der Zusammenarbeit.
NIS2 bildet die Grundlage für Risikomanagementmaßnahmen und Meldepflichten im Bereich Cybersicherheit in allen Sektoren, die unter die Richtlinie fallen. Dazu gehören etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur. NIS2 ist eine EU-weite Gesetzgebung zur Netzwerk- und Informationssicherheit, die bereits 2022 beschlossen und im Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht wurde.
Rückblick auf die NIS2-Umsetzungsrichtlinie
Seit dem 6. Dezember 2025 gilt die europäische NIS2-Richtlinie auch in Deutschland. Unternehmen müssen prüfen, ob sie der NIS2-Richtlinie unterliegen (siehe Ab heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland).
Ich hatte hier im Blog mehrfach über die NIS2-Richtlinie berichtet (siehe Beitrag NIS-2-Richtlinie muss bis 17. Oktober 2024 von (betroffenen) Unternehmen umgesetzt werden und weitere Links am Artikelende).
Es wird geschätzt, dass rund 29.500 Unternehmen in Deutschland und Institutionen der Bundesverwaltung den Anforderungen des NIS2-Umsetzungsgesetzes unterliegen. Für die Betroffenen gelten neue gesetzliche Pflichten in der IT-Sicherheit. Sie müssen sich unter anderem als NIS-2-Einrichtungen registrieren und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erhebliche Sicherheitsvorfälle melden.
Der dafür vorgesehene Registrierungsprozess ist zweistufig: Zunächst muss eine Anmeldung beim digitalen Dienst Mein Unternehmenskonto (MUK) erfolgen. Über "Mein Unternehmenskonto" haben Firmen und Organisationen die Möglichkeit, digitale Verwaltungsleistungen verschiedenster Behörden über einen deutschlandweit einheitlichen Zugang zu nutzen. Die Authentifizierung erfolgt wohl mit dem Elster-Zertifikaten (siehe Infoseite).
Im Anschluss ist dann eine Registrierung im neu entwickelten BSI-Portal erforderlich, die seit Januar 2026 zur Verfügung steht (siehe NIS-2-Registrierung im BSI-Portal jetzt möglich (6.1.2026)). Dass dieses BSI-Portal solide auf einer Cloud-Infrastruktur von Amazon Web Services aufsetzt und sukzessiv zu einer Informations- und Austauschplattform mit Echtzeit-Daten und aktuellen Analysen für schnelle Reaktionsmöglichkeiten ausgebaut wird, ist nur eine Fußnote.
Die NIS2-Registrierungslücke
Eigentlich war erwartet worden, dass sich rund 29.500 Unternehmen aus Deutschland und Institutionen der Bundesverwaltung bis zum März 2026 beim BSI-Portal registrieren. Die NIS2-Registrierung weist in Deutschland aber wohl eine massive Lücke auf, da von rund 29.500 erwarteten Unternehmen bis zum ursprünglichen März-Stichtag nur ein Bruchteil gemeldet war.
Darauf hin wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) die Frist zur Registrierung bis zum 31. Juli 2026 verlängert. Aber die Registrierungslücke bleibt bestehen. Bis zum Sommer 2026 waren schätzungsweise nur 11.500 der rund 29.500 betroffenen Betriebe und Behörden im BSI-Portal registriert. Das heißt, dass 2/3 der Unternehmen im "Blindflug" unterwegs sind und sich um die Thematik nicht kümmern oder diese ignorieren.
Die NIS2-Registrierungslücke als Problem
Ich bin durch einen Kommentar von Illumio auf die oben erwähnte Thematik der NIS2-Registrierungslücke gestoßen. Illumio ist ein Sicherheitsanbieter im Bereich Ransomware- und Breach Containment. Alexander Goller, Principal Solutions Architect bei Illumio, sieht in den vielen noch ausstehenden NIS2-Registrierungen ein Symptom, dass auf ein tieferliegendes Problem hinweist: "Cybersicherheit wird vielerorts noch immer nicht genug Priorität eingeräumt".
Jede Organisation, die NIS2 ernst nimmt, setzt die Anforderungen in Form eines Projekts um, argumentiert Goller. Vorbereitung und Registrierung sind zeitaufwendig, aber nur die ersten kleinen Schritte in dem wesentlich größeren NIS2-Projekt. Goller sagt, dass Tausende Organisationen bereits in diesem Stadium ins Stocken geraten. Das mache deutlich, welchen geringen Stellenwert Cybersicherheit in vielen deutschen Vorstandsetagen weiterhin einnimmt. Nicht der eines strategischen Risikos wird gesehen, sondern das Ganze wird als administratives Ärgernis betrachtet.
Die vielen noch ausstehenden NIS2-Registrierungen sind laut Alexander Goller nur die Spitze des Eisbergs. Organisationen, die Schwierigkeiten mit der Registrierung haben, dürften bei der operativen Umsetzung von NIS2 ebenfalls an ihre Grenzen stoßen. Das sei besonders besorgniserregend, denn die Registrierungslücke lasse die Resilienzlücke erahnen.
Mit NIS2 will der Gesetzgeber erreichen, dass Organisationen, die für unser aller Leben bedeutend sind, ihre Cyberresilienz steigern, argumentiert Goller: "Es geht also darum, ob eine Organisation verhindern kann, dass aus einem Cybervorfall eine Geschäftskrise wird. Angenommen, ein Laptop wird kompromittiert oder Zugangsdaten werden durch Phishing gestohlen: Wie viele kritische Systeme kann ein Cyberangreifer von diesem ersten Ausgangspunkt aus erreichen? In vielen Organisationen lautet die Antwort noch immer: zu viele."
Organisationen müssen der Wahrheit ins Auge blicken, so Goller: Sie können nicht alle Angriffe abwehren. Es ist nur eine Frage der Zeit, bis ein Angreifer die Abwehrmaßnahmen überwindet, eindringt, sich in der IT-Umgebung bewegt, Daten stiehlt und Schaden anrichtet. Organisationen müssen daher proaktiv Maßnahmen ergreifen, um Eindringlinge zu stoppen. Genau das meint NIS2, wenn es Geschäftskontinuität verlangt.
Mein Fazit: Viele mittelständische Unternehmen sind sich unklar über ihre Betroffenheit in den 18 regulierten Sektoren oder scheitern an den formalen Hürden. Drohende Konsequenzen: Das Verpassen der Registrierung ist ein eigenständiger Bußgeldtatbestand und zieht erhöhten Druck durch die Aufsichtsbehörden nach sich. Organisationen, die Eindringlinge nicht zügig stoppen, riskieren katastrophale Schäden, argumentiert Goller.
Ähnliche Artikel:
NIS-2-Richtlinie von Deutschland beschlossen
Ab heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland
NIS-2-Registrierung im BSI-Portal jetzt möglich (6.1.2026)
NIS-2-Richtlinie muss bis 17. Oktober 2024 von (betroffenen) Unternehmen umgesetzt werden
Kommunal-IT und Informationssicherheitsbeauftragte (ISBs) in der NIS-2-Falle?
KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU
Links:
Praxisleitfaden zur NIS-2-Umsetzung
BSI-Leitlinie zur NIS-2 Meldepflicht von Cybervorfällen
MVP: 2013 – 2016
Einfach die rund 29.500 Unternehmen anschreiben wäre zu einfach.
Wo ist die zuständige Überwachungsbehörde? Bei fehlender Compliance Strafanzeige stellen. Oder fehlt es an geeignetem Personal in unserer Demokratie?
Wie habe ich das einzuordnen?
Ein Verstoß gegen die NIS2 Anmeldepflicht ist keine Straftat, bei der sich die Polizei mit Blaulicht aufmacht.
Das Problem fängt doch schon damit an, dass sich der Staat gar nicht im Vorfeld festlegen will, wer unter NIS2 fällt, das muss jedes Unternehmen selbst ermitteln…
Guten Morgen, die NIS2 hat nur indirekt mit "Cybersicherheit" zu tun. Heuristik: Vorsicht bei denen, die das Platzhalter-Wort "Cyber" für etwas einsetzen. So auch hier.
Primär geht es bei der NIS2 um Informationssicherheit. Das ist der Euch fehlende Begriff. Das Feld ist hier deutlich größer als der Bereich, der technische Part, der von Euch aufgegriffen wurde neben anderen Teilen wie organisatorische und physische Informationssicherheit oder auch dem Datenschutz.
Es beginnt damit, dass viele Ihre Informationsträger, was auch Papiere oder Akten sein können gar nicht erst klassifizieren. Was soll übrhaupt geschützt werden? Das bedingt einen Aufbau eines Informationsmanagementsystems (ISMS), zumindest für die NIS2 eines "ISMS light", Risiken müssen anhand einer einheitlichen Risikomatrix identifizierbar werden, Lieferanten und Assets sind zu risikobewerten. Das sind die implizierten Voraussetzungen, an denen es bei vielen mangelt. Nicht nur im Mittelstand. Mir ist z.B. eine große Krankenversicherung aus Dortmund bekannt, die jetzt erstmalig unter DORA gekommen ist, der Schwester der NIS2 für Banken und Versicherungen und nun im Schnellverfahren dabei ist, alles nachzuholen.
Hier kommt Dein völlig richtiger Punkt, dass genau diesem keine Wichtigkeit bemessen wird und mancherorts es genau deshalb aufwändig wird. Weniger technisch, organisatorisch und von den unternehmensinternen Prozessen her. Die Technik spielt bei vielen bei NIS2 kaum eine Rolle.
Und gerade bei mittelständischen, inhabergeführten Unternehmen mit gewissen autoritäten Führungs- und Machtanspruchs-Persönlichkeiten gibt es Probleme, wenn diese erstmalig als Organisation denken müssen und Kontrolle "abgeben" bzw. sich etablierten Prozessen unterwerfen müssen. Bei der NIS2 sind das z.B. verpflichtende Schulungen, auch oder gerade für die Geschäftsführer.
Die NIS2 wurde extra für solche gemacht, damit diese erstmalig in Haftung zu nehmen sind. By the way: Wer ein freies System für ein ISMS sucht, kann sich ja mein freies System anschauen:
Werbliche Seite: https://epyy.de
Codeberg-Repo: https://codeberg.org/tomas-jakobs/isms-document-workflow
Fun-Fact am Rande: Wie HonkHase auf mastodon berichtet, Quelle: https://chaos.social/@HonkHase/117007980892525056 ist es unsere Bundesregierung, die vorgestern heimlich still und leise im "Gesetz zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften" das KRITISDachG und BSIG massiv abschwächte und damit aktiv vertragswidrig zur EU-Gesetzgebung handelt und Informationssicherheit in diesem Land massiv schwächt.
Wir haben Defizite und Registrierungslücken, aber die Verantwortlichen haben entschieden wegzuschauen…. Bravo!
Bis es knallt… bei einigen Renitenten geht der Trend zum Mehrfachbefall…
Die eigentlichen Ziele diverser Gesetze sind ganz andere. Weisst man darauf hin, wird man oft direkt als Verschwörungstheoretiker verunglimpft. Kaum jemand hinterfragt noch irgendetwas genauer. Es ist leider so.
Sichtweise der Geschäftsführung:
Ist ein IT-Thema, um das sich die IT-Abteilung zu kümmern hat. War bei der DSGVO-Einführung auch schon so.
Die IT-Abteilung juckt es nicht, weil diese nicht zuständig ist.
Ja das ist der Punkt. Das wird gelesen und wird dann mit "ist ja ein Thema für die IT" weitergegeben. Kann ich aus Erfahrung sprechen. Da bekommt man als Dienstleister plötzlich Anfragen von wegen unterliegen wir NIS2 und wie sichere ich meine Papierdokumente. Oder anders gesagt, mal wieder derjenige , der alles wissen soll und parallel noch Seelsorge betreibt, weil ja IT so teuer ist.
Dazu noch selten eine Firma gesehen, die wirklich aktiv ohne Vorkommnisse in IT-Sicherheit investiert, da läuft man bei vielen Gegen eine Wand – Stichwort Proaktiv. Gibt zwar Ausnahmen, aber die meisten machen doch eher Aktion-Reaktion. Also fehlende Meldungen wundern mich nicht wirklich.
Das Problem sind auch Hoster die meinen dass für Privatpersonen auch NIS2 gilt weil man ja eine eigene Domain hat.
Es ist auch nicht immer eindeutig ob man darunter fällt oder nicht und die Hilfen die man da von den Stellen bekommt sind "bescheiden"!
Ich habe auch ne Menge Zeit damit verbraten das rauszukriegen… Falle nicht darunter.
Dafür gingen aber Wochen ins Land das stichfest zu kriegen. Kosten die einem keiner ersetzt.
Da wundert mich die Diskreptanz absolut nicht!
es wäre ein leichtes für die Behörde die Firmen die drunter fallen anzuschreiben, dann wäre das klar und deutlich… aber ich denke man möchte da im Anschluß "abkassieren"…
Meine Sicht dazu: Die NIS2-RIchtlinie trifft teilweise wirklich kleine Firmen in Branchen, die ohnehin schon massiv überreguliert sind.
Vorab: Wir fallen mit unserem Hauptunternehmen selbst unter die NIS2-Richtlinie, wir sind (selbstverständlich) beim BSI registriert, wir sind aktiv dabei, die NIS2-Vorgaben umzusetzen.
Wir sind ein vergleichsweise kleiner Entsorger mit gerade mal 15 PC-Arbeitsplätzen in der NIS2-relevanten Hauptfirma und zwei Leuten, die nebenbei (neben diversen anderen Aufgaben) die IT für die ganze Firmengruppe (inzwischen vier Unternehmen) administrieren (und nie irgendwas formelles im IT-Bereich gelernt haben). Neben abfallrechtlichen, steuerrechtlichen, datenschutzrechtlichen und "allgemeinrechtlichen" und irgendwelchen sonstigen kruden spezialrechtlichen Vorschriften und mitten in der ERP-System-Migration setzen wir noch so nebenbei irgendwie die teilweise sehr unklaren und abgehobenen Vorgaben der NIS2-Richtlinie um. Da fragt man sich dann gelegentlich doch, ob wir eigentlich noch irgendwas produktives tun, oder ob wir nur noch irgendwelche abstrusen Bürokratievorschriften abarbeiten…
Ich bin immer vorne mit dabei, wenn es darum geht, die IT-Sicherheit zu verbessern. Aber die NIS2 empfinde ich zunehmend nur noch als Belastung, die wenig mit echter (IT-)Sicherheit zu tun hat. Die ganze Erzeugung an absolut theoretischer Highlevel-Dokumentation hält uns ganz objektiv davon ab, echte Verbesserungen der IT-Sicherheit umzusetzen, sie frisst extrem viel Ressourcen (Zeit und Budget), die ich so viel sinnvoller einsetzen könnte… Wir geben alleine für die Beratung und Unterstützung durch unseren externen IT-Dienstleister bei der Umsetzung der NIS2-Büroktratieanforderungen einen mittleren fünfstelligen Betrag aus. Da ist noch nicht der interne Personalaufwand mit drin, da ist noch keine einzige technische Maßnahme drin. Viel lieber würde ich das Geld dafür ausgeben, unsere technische IT-Sicherheit zu verbessern. Um unsere Netzwerksegmentierung weiterzutreiben, um unsere Backupinfrastruktur weiter zu härten, vielleicht auch für einen externen Pentest. Es gibt so viele tolle Dinge, die ich mit dem Geld (und meiner Zeit) machen könnte…