KI-Datenhoheit LogoKI-DatenhoheitRedaktion
Regulatorik-Stack DE

NIS2-Registrierungsfrist verpasst: Was das BSI jetzt tut und wie Sie nachbessern

Die Registrierungspflicht beim BSI gilt unabhängig davon, ob ein Unternehmen sich selbst als betroffen einstuft. Wer die Frist versäumt hat, steht nicht vor einem Automatismus aus Bußgeldern — aber vor einer Beweislast. Dieser Text ordnet die Rechtslage, das tatsächliche Aufsichtsverhalten und die Reihenfolge der Nachbesserung.

Fryderyk Pryjma9 Min. Lesezeit
Kalenderraster mit einem markierten, bereits verstrichenen Datum neben einem Stapel Registrierungsformulare

Das Wichtigste auf einen Blick

  • Die Registrierungspflicht trifft besonders wichtige und wichtige Einrichtungen kraft Gesetzes — eine Aufforderung des BSI ist keine Voraussetzung.
  • Das BSI eskaliert in der Praxis stufenweise: Hinweis, Auskunftsverlangen, Anordnung, erst danach Bußgeld.
  • Eine verspätete Registrierung bleibt eine Ordnungswidrigkeit, wirkt aber strafmildernd gegenüber dem Unterlassen.
  • Entscheidend ist nicht das Nachholen allein, sondern die dokumentierte Betroffenheitsprüfung mit Datum und Verantwortlichem.
  • Die Registrierung ersetzt keine der übrigen Pflichten: Risikomanagement, Meldewege und Nachweise laufen parallel weiter.

01Was genau versäumt wurde

Das NIS2UmsuCG verpflichtet besonders wichtige und wichtige Einrichtungen, sich innerhalb der gesetzlichen Frist beim BSI zu registrieren und dabei Stammdaten, Sektorzuordnung, Kontaktstellen für Sicherheitsvorfälle sowie IP-Bereiche und Domains zu übermitteln. Die Pflicht entsteht kraft Gesetzes: Sie hängt nicht davon ab, dass das BSI ein Unternehmen anschreibt oder als betroffen führt. Wer die Schwellenwerte nach Größe und Sektor erfüllt, ist registrierungspflichtig — auch wenn er das selbst nie geprüft hat.

Vier Punkte, die jetzt zuerst zu klären sind

  • Fällt die Einrichtung unter einen Sektor der Anlagen zum NIS2UmsuCG?
  • Werden die Schwellenwerte bei Beschäftigtenzahl oder Jahresumsatz überschritten?
  • Bestehen Sonderfälle, die unabhängig von der Größe erfassen (z. B. qualifizierte Vertrauensdienste, DNS, TLD-Registries)?
  • Gibt es Konzernstrukturen, in denen eine andere Gesellschaft bereits registriert ist?

02Was das BSI tatsächlich tut

Das BSI verfügt über Aufsichtsbefugnisse, die von Auskunftsverlangen über Vor-Ort-Prüfungen bis zu verbindlichen Anordnungen reichen. In der Praxis beginnt die Aufsicht nicht mit dem Bußgeld, sondern mit dem Informationsverlangen. Die realistische Eskalationsfolge sieht so aus:

Eskalationsstufen der Aufsicht nach versäumter Registrierung
StufeMaßnahmeAuslöserWas von Ihnen erwartet wird
1Hinweis oder Aufforderung zur RegistrierungAbgleich mit Sektorlisten, Meldungen Dritter, VorfallmeldungenRegistrierung innerhalb der gesetzten Frist nachholen
2Auskunftsverlangen zur BetroffenheitUnklare Einordnung oder ausbleibende ReaktionDokumentierte Betroffenheitsprüfung vorlegen
3Anordnung mit FristsetzungFortdauernder VerstoßUmsetzung und Nachweis gegenüber der Behörde
4BußgeldverfahrenBeharrliche Nichterfüllung, Verschleierung, Vorfall ohne RegistrierungStellungnahme; Milderungsgründe werden geprüft

Der kritische Sonderfall ist der Sicherheitsvorfall bei einer nicht registrierten Einrichtung. Dann treffen zwei Verstöße zusammen — fehlende Registrierung und ein Meldeweg, der organisatorisch nicht vorbereitet ist. Genau diese Konstellation verschiebt ein Verfahren von Stufe 1 direkt in Richtung Stufe 4.

03Bußgeldrahmen und wie er angewendet wird

Das NIS2UmsuCG sieht für besonders wichtige Einrichtungen Bußgelder von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent. Diese Obergrenzen gelten für schwere Verstöße gegen die Risikomanagementpflichten. Ein reiner Registrierungsverstoß liegt im unteren Bereich des Rahmens — er ist eine Ordnungswidrigkeit, kein Regelfall für Höchstbußgelder.

Faktoren, die die Höhe im Verfahren beeinflussen

  • Dauer des Verstoßes und ob die Registrierung aus eigenem Antrieb nachgeholt wurde
  • Ob eine dokumentierte, wenn auch fehlerhafte Betroffenheitsprüfung vorliegt
  • Kooperationsverhalten gegenüber der Behörde
  • Ob in der Zwischenzeit ein meldepflichtiger Vorfall unentdeckt oder ungemeldet blieb
  • Bestehen und Reifegrad der übrigen Sicherheitsmaßnahmen

04Nachbesserung in der richtigen Reihenfolge

Die Versuchung ist groß, sofort das Registrierungsformular auszufüllen. Sinnvoll ist das erst nach Schritt zwei — denn die Registrierung fixiert die Sektorzuordnung und Einstufung, die Sie anschließend belegen müssen.

Reihenfolge der Nachbesserung
SchrittAufgabeErgebnisZeitrahmen
1Betroffenheit formal prüfen und schriftlich festhaltenPrüfvermerk mit Datum, Datenbasis und Verantwortlichem1 Woche
2Einstufung festlegen: besonders wichtig, wichtig oder nicht betroffenBegründete Kategorisierung1 Woche
3Registrierung beim BSI vornehmenRegistrierungsbestätigung als Nachweissofort danach
4Meldekette einrichten und testenBenannte Kontaktstelle, 24/72-Stunden-Prozess, Erreichbarkeit rund um die Uhr2-4 Wochen
5Risikomanagement nach Paragraf 30 aufsetzen bzw. Lücken schließenMaßnahmenplan mit Terminen und Verantwortlichenlaufend
6Lieferanten- und Dienstleisterprüfung nachziehenBewertete Lieferkette inkl. KI-Dienstenlaufend

Wer KI-Systeme betreibt oder von externen KI-Anbietern bezieht, sollte Schritt sechs nicht abtrennen: Die Lieferantenprüfung nach NIS2 erfasst auch Modell- und Inferenzdienste. Wo diese Grenze verläuft, klärt der Zehn-Fragen-Test in diesem Portal.

05Was die Nachbesserung prüffest macht

Eine nachgeholte Registrierung allein erzeugt keinen belastbaren Zustand. Prüffest wird sie erst durch die Dokumentation, die erklärt, warum die Frist verstrichen ist und was sich seitdem geändert hat. Diese Unterlagen gehören in eine Akte, die einer Anfrage standhält:

Aktenbestand nach der Nachregistrierung

  • Prüfvermerk zur Betroffenheit mit Datum, Datenquellen und Unterschrift
  • Begründung der Einstufung samt herangezogener Schwellenwerte
  • Registrierungsbestätigung des BSI
  • Protokoll der internen Entscheidung, die zur verspäteten Registrierung führte
  • Maßnahmenplan mit Terminen für Risikomanagement und Meldeprozess
  • Nachweis, dass die Kontaktstelle benannt und erreichbar ist

06Die Pflichten, die parallel weiterlaufen

Die Registrierung ist der sichtbarste, aber kleinste Teil der Pflichten. Wer sie nachholt, tritt in den Blick der Aufsicht — und zwar mit dem gesamten Pflichtenkatalog. Wesentlich sind die Meldepflichten mit Erstmeldung binnen 24 Stunden, die Risikomanagementmaßnahmen nach Paragraf 30 NIS2UmsuCG, die Nachweispflichten gegenüber dem BSI und die Verantwortung der Geschäftsleitung samt Schulungspflicht.

Für KI-Systeme kommt der zweite Stack hinzu: Die KI-Verordnung bringt eigene Fristen, eigene Rollen und eigene Nachweise mit. Beide Regelwerke überschneiden sich bei Dokumentation, Lieferkette und Vorfallbehandlung — wer sie getrennt bearbeitet, erzeugt doppelte Arbeit und widersprüchliche Nachweise.

Häufige Fragen

Ist die verspätete Registrierung beim BSI automatisch ein Bußgeld?

Nein. Der Verstoß ist eine Ordnungswidrigkeit, aber die Aufsicht eskaliert in der Praxis stufenweise. Eine aus eigenem Antrieb nachgeholte Registrierung ohne vorherigen behördlichen Kontakt führt regelmäßig nicht zum Bußgeldverfahren.

Was passiert, wenn wir uns fälschlich für nicht betroffen hielten?

Entscheidend ist, ob die Einschätzung dokumentiert und methodisch nachvollziehbar war. Ein datierter Prüfvermerk, der die Schwellenwerte und die Sektorzuordnung belegt, wirkt entlastend — eine unbelegte Annahme nicht.

Sollen wir uns zuerst registrieren oder zuerst die Betroffenheit prüfen?

Zuerst prüfen. Die Registrierung fixiert Sektorzuordnung und Einstufung, die Sie anschließend belegen müssen. Eine falsche Einstufung im Formular ist aufwendiger zu korrigieren als eine sorgfältige Prüfung vorab.

Müssen wir die Registrierung melden, wenn sich Daten ändern?

Ja. Änderungen an Stammdaten, Kontaktstellen, IP-Bereichen oder Domains sind unverzüglich nachzuführen. Ein veralteter Eintrag ist selbst ein Erfüllungsmangel.

Gilt die Pflicht auch für Tochtergesellschaften?

Die Betroffenheit wird je Einrichtung geprüft. Konzernzugehörigkeit ersetzt keine eigene Registrierung, wenn die Tochtergesellschaft die Kriterien selbst erfüllt. Umgekehrt können verbundene Unternehmen bei der Schwellenwertberechnung zusammenzurechnen sein.

Was ist, wenn während der Nichtregistrierung ein Vorfall auftrat?

Das ist die kritischste Konstellation. Der Vorfall ist unverzüglich zu melden, auch nachträglich. Die Kombination aus fehlender Registrierung und unterbliebener Meldung ist der wahrscheinlichste Weg in ein Bußgeldverfahren.

Primärquellen

Weiterführende Artikel