Es gibt wohl ein Problem mit der Zahl der Firmen, die sich als unter NIS2 fallend beim BSI registriert haben. Erwartet wurde, dass sich rund 29.500 Unternehmen registrieren. Bis zum ursprünglichen Stichtag im März 2026 hat sich aber nur ein Bruchteil der Unternehmen am Portal des BSI gemeldet. Die Frist wurde bis 31. Juli 2026 verlängert, aber es scheint weiterhin eine NIS2-Registrierungslücke zu geben.
Wofür steht NIS2?
NIS steht für steht für Network and Information Security. Die NIS-2-Richtlinie (nachfolgend kurz als NIS2 bezeichnet) der Europäischen Union legt verbindliche Cyber Security-Mindeststandards für Betreiber kritischer Infrastrukturen (KRITIS) fest. Ziel der Richtlinie ist die Stärkung von Risiko- und Sicherheitsvorfallmanagement und der Zusammenarbeit.
NIS2 bildet die Grundlage für Risikomanagementmaßnahmen und Meldepflichten im Bereich Cybersicherheit in allen Sektoren, die unter die Richtlinie fallen. Dazu gehören etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur. NIS2 ist eine EU-weite Gesetzgebung zur Netzwerk- und Informationssicherheit, die bereits 2022 beschlossen und im Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht wurde.
Rückblick auf die NIS2-Umsetzungsrichtlinie
Seit dem 6. Dezember 2025 gilt die europäische NIS2-Richtlinie auch in Deutschland. Unternehmen müssen prüfen, ob sie der NIS2-Richtlinie unterliegen (siehe Ab heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland).
Ich hatte hier im Blog mehrfach über die NIS2-Richtlinie berichtet (siehe Beitrag NIS-2-Richtlinie muss bis 17. Oktober 2024 von (betroffenen) Unternehmen umgesetzt werden und weitere Links am Artikelende).
Es wird geschätzt, dass rund 29.500 Unternehmen in Deutschland und Institutionen der Bundesverwaltung den Anforderungen des NIS2-Umsetzungsgesetzes unterliegen. Für die Betroffenen gelten neue gesetzliche Pflichten in der IT-Sicherheit. Sie müssen sich unter anderem als NIS-2-Einrichtungen registrieren und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erhebliche Sicherheitsvorfälle melden.
Der dafür vorgesehene Registrierungsprozess ist zweistufig: Zunächst muss eine Anmeldung beim digitalen Dienst Mein Unternehmenskonto (MUK) erfolgen. Über "Mein Unternehmenskonto" haben Firmen und Organisationen die Möglichkeit, digitale Verwaltungsleistungen verschiedenster Behörden über einen deutschlandweit einheitlichen Zugang zu nutzen. Die Authentifizierung erfolgt wohl mit dem Elster-Zertifikaten (siehe Infoseite).
Im Anschluss ist dann eine Registrierung im neu entwickelten BSI-Portal erforderlich, die seit Januar 2026 zur Verfügung steht (siehe NIS-2-Registrierung im BSI-Portal jetzt möglich (6.1.2026)). Dass dieses BSI-Portal solide auf einer Cloud-Infrastruktur von Amazon Web Services aufsetzt und sukzessiv zu einer Informations- und Austauschplattform mit Echtzeit-Daten und aktuellen Analysen für schnelle Reaktionsmöglichkeiten ausgebaut wird, ist nur eine Fußnote.
Die NIS2-Registrierungslücke
Eigentlich war erwartet worden, dass sich rund 29.500 Unternehmen aus Deutschland und Institutionen der Bundesverwaltung bis zum März 2026 beim BSI-Portal registrieren. Die NIS2-Registrierung weist in Deutschland aber wohl eine massive Lücke auf, da von rund 29.500 erwarteten Unternehmen bis zum ursprünglichen März-Stichtag nur ein Bruchteil gemeldet war.
Darauf hin wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) die Frist zur Registrierung bis zum 31. Juli 2026 verlängert. Aber die Registrierungslücke bleibt bestehen. Bis zum Sommer 2026 waren schätzungsweise nur 11.500 der rund 29.500 betroffenen Betriebe und Behörden im BSI-Portal registriert. Das heißt, dass 2/3 der Unternehmen im "Blindflug" unterwegs sind und sich um die Thematik nicht kümmern oder diese ignorieren.
Die NIS2-Registrierungslücke als Problem
Ich bin durch einen Kommentar von Illumino auf die oben erwähnte Thematik der NIS2-Registrierungslücke gestoßen. Illumio ist ein Sicherheitsanbieter im Bereich Ransomware- und Breach Containment.
Alexander Goller, Principal Solutions Architect bei Illumio, sieht in den vielen noch ausstehenden NIS2-Registrierungen ein Symptom, dass auf ein tieferliegendes Problem hinweist: "Cybersicherheit wird vielerorts noch immer nicht genug Priorität eingeräumt".
Jede Organisation, die NIS2 ernst nimmt, setzt die Anforderungen in Form eines Projekts um, argumentiert Goller. Vorbereitung und Registrierung sind zeitaufwendig, aber nur die ersten kleinen Schritte in dem wesentlich größeren NIS2-Projekt. Goller sagt, dass Tausende Organisationen bereits in diesem Stadium ins Stocken geraten. Das mache deutlich, welchen geringen Stellenwert Cybersicherheit in vielen deutschen Vorstandsetagen weiterhin einnimmt. Nicht der eines strategischen Risikos wird gesehen, sondern das Ganze wird als administratives Ärgernis betrachtet.
Die vielen noch ausstehenden NIS2-Registrierungen sind laut Alexander Goller nur die Spitze des Eisbergs. Organisationen, die Schwierigkeiten mit der Registrierung haben, dürften bei der operativen Umsetzung von NIS2 ebenfalls an ihre Grenzen stoßen. Das sei besonders besorgniserregend, denn die Registrierungslücke lasse die Resilienzlücke erahnen.
Mit NIS2 will der Gesetzgeber erreichen, dass Organisationen, die für unser aller Leben bedeutend sind, ihre Cyberresilienz steigern, argumentiert Goller: "Es geht also darum, ob eine Organisation verhindern kann, dass aus einem Cybervorfall eine Geschäftskrise wird. Angenommen, ein Laptop wird kompromittiert oder Zugangsdaten werden durch Phishing gestohlen: Wie viele kritische Systeme kann ein Cyberangreifer von diesem ersten Ausgangspunkt aus erreichen? In vielen Organisationen lautet die Antwort noch immer: zu viele."
Organisationen müssen der Wahrheit ins Auge blicken, so Goller: Sie können nicht alle Angriffe abwehren. Es ist nur eine Frage der Zeit, bis ein Angreifer die Abwehrmaßnahmen überwindet, eindringt, sich in der IT-Umgebung bewegt, Daten stiehlt und Schaden anrichtet. Organisationen müssen daher proaktiv Maßnahmen ergreifen, um Eindringlinge zu stoppen. Genau das meint NIS2, wenn es Geschäftskontinuität verlangt.
Mein Fazit: Viele mittelständische Unternehmen sind sich unklar über ihre Betroffenheit in den 18 regulierten Sektoren oder scheitern an den formalen Hürden. Drohende Konsequenzen: Das Verpassen der Registrierung ist ein eigenständiger Bußgeldtatbestand und zieht erhöhten Druck durch die Aufsichtsbehörden nach sich. Organisationen, die Eindringlinge nicht zügig stoppen, riskieren katastrophale Schäden, argumentiert Goller.
Ähnliche Artikel:
NIS-2-Richtlinie von Deutschland beschlossen
Ab heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland
NIS-2-Registrierung im BSI-Portal jetzt möglich (6.1.2026)
NIS-2-Richtlinie muss bis 17. Oktober 2024 von (betroffenen) Unternehmen umgesetzt werden
Kommunal-IT und Informationssicherheitsbeauftragte (ISBs) in der NIS-2-Falle?
KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU
Links:
Praxisleitfaden zur NIS-2-Umsetzung
BSI-Leitlinie zur NIS-2 Meldepflicht von Cybervorfällen
MVP: 2013 – 2016
