NIS2 nach der Frist: Jetzt beginnt die BSI-Aufsicht
Am 6. März 2026 ist die Registrierungsfrist für NIS2 abgelaufen und damit endet die Aufbauphase. Rund 29.000 Einrichtungen in Deutschland fallen unter das NIS2-Umsetzungsgesetz, das BSI ist die zentrale Aufsichtsbehörde. 2026 wird deshalb das Jahr, in dem nicht mehr die Frage zählt, ob man registriert ist, sondern ob die gemeldeten Maßnahmen einer Prüfung standhalten. Wer das sauber aufsetzt, hat im EU-Vergleich keinen Nachteil, sondern einen Reifegrad-Vorlauf.
Das Wichtigste in Kürze
- Die Phase wechselt. Mit Ablauf der Registrierungsfrist am 6. März 2026 verschiebt sich der Fokus von der Anmeldung zur Aufsicht. Das BSI kann ab jetzt prüfen, anordnen und sanktionieren.
- Die Haftung ist persönlich. Für besonders wichtige Einrichtungen reichen die Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Wert höher ist. Dazu kommt die persönliche Verantwortung der Geschäftsleitung.
- Früher Reifegrad zahlt sich aus. Wer die Pflichten jetzt sauber erfüllt, ist auf die nächste Aufsichtswelle vorbereitet und deckt den EU-Mindeststandard ohnehin ab.
Verwandt:NIS2 wird vollstreckt: Erste Verfahren, persönliche Haftung / NIS2-Enforcement trifft 29.500 deutsche Firmen
Die Frist ist abgelaufen, die Aufsicht beginnt
Das NIS2-Umsetzungsgesetz wurde am 6. Dezember 2025 verkündet und gilt seither ohne Übergangsfrist. Die Registrierungspflicht beim BSI lief am 6. März 2026 aus. Verspätete Registrierungen bleiben möglich, ändern aber nichts am eigentlichen Punkt: Die Pflichten gelten bereits und die Aufsichtsbehörde ist arbeitsfähig.
Was ist die NIS2-Aufsichtsphase? Die Aufsichtsphase ist der Abschnitt nach Ablauf der Registrierungsfrist, in dem das BSI die Umsetzung der gesetzlichen Sicherheitsmaßnahmen aktiv kontrolliert. Es kann Nachweise anfordern, Audits veranlassen, Anordnungen treffen und bei Verstößen Bußgelder verhängen. Der Schwerpunkt verschiebt sich von der formalen Anmeldung zur inhaltlichen Prüfung.
Für Sicherheitsverantwortliche ändert das die Prioritäten. In der Aufbauphase ging es um Vollständigkeit der Meldung. Jetzt geht es um Belastbarkeit: Lassen sich die gemeldeten Maßnahmen belegen, sind Meldewege erprobt, ist die Verantwortung dokumentiert.
Warum die deutsche Umsetzung über den Mindeststandard hinausgeht
Die NIS2-Richtlinie gibt einen europäischen Rahmen vor, den jeder Mitgliedstaat in nationales Recht gießt. Die 18 erfassten Sektoren und die zwei Einrichtungs-Kategorien gibt bereits die EU-Richtlinie vor. Deutschland hat aber an einer entscheidenden Stelle schärfer formuliert: bei der persönlichen Verantwortung der Geschäftsleitung, die in Härtefällen bis zum Entzug der Aufsicht reichen kann. Das lässt sich als zusätzliche Bürde lesen. Sinnvoller ist die andere Lesart.
Wer die deutschen Anforderungen erfüllt, erfüllt den EU-Mindeststandard ohnehin und meist mit Reserve. Für Unternehmen mit Geschäft in mehreren EU-Ländern ist das ein praktischer Vorteil: Ein Sicherheitsniveau, das in Deutschland besteht, hält in der Regel auch der Aufsicht in Nachbarstaaten stand. Der vermeintliche Mehraufwand wird zum gemeinsamen Nenner.
Das ist kein Grund zur Selbstzufriedenheit, aber ein Argument gegen die reine Belastungs-Erzählung. Reifegrad, der jetzt aufgebaut wird, zahlt über die deutsche Aufsicht hinaus ein.
Was die Aufsichtsphase praktisch bedeutet
Konkret heißt Aufsicht, dass das BSI nicht auf einen Vorfall warten muss, um aktiv zu werden. Es kann anlassbezogen wie auch proaktiv Nachweise verlangen, je nach Einstufung der Einrichtung. Drei Dinge sollten Sicherheitsverantwortliche deshalb vorbereitet haben.
Erstens die Nachweisfähigkeit: Risikoanalyse, technische und organisatorische Maßnahmen und ihre Wirksamkeit müssen dokumentiert und auffindbar sein, nicht nur implementiert. Zweitens die Meldekette: Die Fristen für Vorfallmeldungen an das BSI sind eng, der Ablauf gehört geprobt, bevor er im Ernstfall zählt. Drittens die Governance: Die Geschäftsleitung haftet persönlich, also gehört die Sicherheitslage auf die Leitungsebene, nicht nur in die IT.
Keiner dieser Punkte ist neu erfunden. Neu ist, dass ihre Abwesenheit ab jetzt unmittelbare Folgen haben kann.
Wer die Frist verpasst hat
Eine verspätete Registrierung beim BSI ist weiterhin möglich, schafft aber keinen Schutzraum. Die gesetzlichen Pflichten gelten seit der Verkündung im Dezember 2025, unabhängig davon, ob eine Einrichtung sich rechtzeitig gemeldet hat. Wer jetzt nachzieht, holt also nur die Formalie nach, während die inhaltliche Verantwortung längst läuft.
Praktisch heißt das für Nachzügler: zuerst registrieren, dann zügig die Nachweisfähigkeit herstellen. Kommt es zu einem meldepflichtigen Vorfall, bevor die Maßnahmen belegbar sind, wirkt eine versäumte oder verspätete Registrierung erschwerend. Die Reihenfolge ist also nicht Pflichtenkür, sondern Risikosteuerung.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Was bedeutet das Ende der NIS2-Registrierungsfrist?
Mit dem 6. März 2026 endete die Frist, sich beim BSI als betroffene Einrichtung zu registrieren. Die Pflichten selbst gelten bereits seit der Verkündung des Gesetzes am 6. Dezember 2025. Ab jetzt liegt der Schwerpunkt auf der Aufsicht: Das BSI prüft, ob die gemeldeten Maßnahmen umgesetzt sind.
Wer ist von NIS2 in Deutschland betroffen?
Rund 29.000 Einrichtungen über 18 Sektoren fallen unter das Gesetz, unterteilt in wesentliche und wichtige Einrichtungen. Dazu zählen neu erfasste Unternehmen, Betreiber kritischer Anlagen sowie bestimmte Bundeseinrichtungen.
Welche Sanktionen drohen bei Verstößen?
Für besonders wichtige Einrichtungen reichen die Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Wert höher ist; für wichtige Einrichtungen liegt die Obergrenze niedriger. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung, der in Härtefällen die Aufsicht entzogen werden kann.
Warum gilt die deutsche Umsetzung als streng?
Deutschland hat die NIS2-Richtlinie vor allem bei der persönlichen Haftung der Leitungsebene über den EU-Mindeststandard hinaus konkretisiert, bis hin zum möglichen Entzug der Aufsicht in Härtefällen. Wer diese Anforderungen erfüllt, deckt den europäischen Mindeststandard in der Regel mit ab.
Was sollten Unternehmen jetzt priorisieren?
Drei Punkte: die Nachweisfähigkeit der Sicherheitsmaßnahmen, eine geprobte Meldekette für Vorfälle und die Verankerung der Sicherheitsverantwortung auf Leitungsebene. Diese Vorbereitung entscheidet, ob eine Prüfung durch das BSI ohne Beanstandung verläuft.
Lesetipps der Redaktion
LesetippZero Trust beim Energieversorger: Was die NIS2-Audits jetzt aufdeckenLesetippDORA und NIS2: Warum Banken-Audits jetzt kollidierenLesetippSignal-Kommunikation riskiert NIS2-Compliance
Mehr aus dem MBF Media Netzwerk
cloudmagazinNIS2 und DORA sauber trennen: Compliance-Cluster in KubernetesMyBusinessFutureNIS2-Umsetzung: Checkliste für den Mittelstand jetztDigital ChiefsNIS2 und EU AI Act zeigen den Skill-Gap
