Rätselraten um fehlende NIS2-Registrierungen

close notice This article is also available in English. It was translated with technical assistance and editorially reviewed before publication. . Die Zahl der Unternehmen, Behörden und anderer per NIS2-Umsetzungsgesetz verpflichteten Stellen, die sich unter dem NIS2-Regime beim Bundesamt für Sicherheit in der Informationstechnik hätten registrieren müssen, bleibt weiter deutlich hinter den Schätzungen des Gesetzgebers zurück. Statt 29.500 Registrierungen haben sich bis zum neuen Fristende am vergangenen Freitag nur 18.845 nach eigener Einschätzung von den erweiterten NIS2-Pflichten Betroffene gemeldet. Weiterlesen nach der Anzeige Laut BSI sind das 6.490 „besonders wichtige Einrichtungen“ und 12.355 „wichtige Einrichtungen“. Die Bundesregierung hatte bei der verspäteten Verabschiedung des NIS2-Umsetzungsgesetzes im Dezember 2025 etwa die Hälfte mehr erwartet, basierend auf einer Schätzung des Statistischen Bundesamtes. „Das BSI bewertet diesen Stand als grundsätzlich zufriedenstellend, auch wenn ein Teil der betroffenen Einrichtungen den gesetzlichen Verpflichtungen bislang nicht oder nicht vollständig nachgekommen ist“, sagte eine Behördensprecherin. Wo ist all die Kritis hin? Schon seitdem die Registrierung Anfang März freigeschaltet wurde, lagen die Zahlen deutlich unter diesem Wert. Statt 29.500 hatten sich zum ursprünglichen Stichtag nur 11.500 Betreiber kritischer Einrichtungen und Anlagen ordnungsgemäß registriert. Dabei ist es in einigen Fällen nicht einfach, rechtssicher festzustellen, ob es sich um einen Verpflichteten handelt. Grundsätzlich erkennt das auch das BSI an, etwa bei komplexen Firmenstrukturen. Auch deshalb hatte das BSI die Registrierungsphase bis zum vergangenen Freitag noch einmal verlängert. „Das BSI erwartet von allen betroffenen Einrichtungen, dass sie die Prüfung ihrer Betroffenheit sowie die zweistufige Registrierung zeitnah und vollständig durchführen – die gesetzlichen Fristen gelten unabhängig vom individuellen Umsetzungsaufwand“, sagte die BSI-Sprecherin. Die Registrierung sei eine bußgeldbewehrte Pflicht – bislang allerdings verzichtete das BSI auf die Einleitung von Ordnungsmaßnahmen. Das Bundesamt beobachte die Situation „engmaschig“. Da die Zahlen weiter deutlich hinter den erwarteten zurückblieben, hat das Innenministerium zudem das Statistische Bundesamt (Destatis) beauftragt, noch einmal die Zahl der registrierungspflichtigen Stellen zu überprüfen. Das kündigte das zuständige BMI in einer Antwort auf eine schriftliche Frage der Grünen-Abgeordneten Jeanne Dillschneider an. „Bereits die reguläre Frist hätte ein Weckruf sein müssen“, sagte Dillschneider – und bemängelt, dass die Bedrohung „noch immer nicht an allen Stellen erkannt“ worden sei. Registrierung nur kleiner Teil der Verpflichtungen Weiterlesen nach der Anzeige Die Registrierung ist dabei nur der erste Schritt: Das BSI soll unter dem NIS2-Regime zum einen früher in Kenntnis von IT- oder damit verbundenen OT-Sicherheitsvorfällen bei betroffenen Stellen im Rahmen der mehrstufigen Meldepflichten erhalten. Zum anderen umfasst es weitere Kooperations-, Sicherheits- und Schulungspflichten. Besonders pikant allerdings: Die Registrierung als NIS2 unterfallende Einrichtung führt auch zur Möglichkeit, dass die jeweils zuständigen Bundesministerien diesen Stellen den Einsatz „kritischer Komponenten“ untersagen könnten (§41 BSIG).