Registrierung beim BSI: Die erste Pflicht, die sofort greift
Betroffene Einrichtungen müssen sich binnen drei Monaten beim BSI registrieren. Für Unternehmen, die schon beim Inkrafttreten am 6. Dezember 2025 betroffen waren, lief die Frist am 6. März 2026 ab. Diese Seite erklärt, was erfasst wird, welche Fristen gelten und wie Sie eine versäumte Registrierung nachholen.
- 3 Monate Frist ab Eintritt der Betroffenheit
- 6.3.2026 Bestandsfrist, abgelaufen
- 500.000 € Bußgeldrahmen bei Verstoß gegen die Registrierungspflicht
- BSI-Portal Registrierung erfolgt elektronisch
Wer sich registrieren muss
Registrierungspflichtig ist jede Einrichtung, die unter das BSIG fällt. Die Kategorie entscheidet über Pflichtenumfang und Bußgeldrahmen, nicht über die Registrierungspflicht selbst.
- Kategorie 1
Besonders wichtige Einrichtungen
Großunternehmen in den Sektoren der Anlage 1 (ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme) sowie Betreiber kritischer Anlagen unabhängig von der Größe. Bußgeldrahmen bei Verstößen gegen die Kernpflichten: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
- Kategorie 2
Wichtige Einrichtungen
Mittlere Unternehmen in den Sektoren der Anlagen 1 und 2 (ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme). Bußgeldrahmen bei Verstößen gegen die Kernpflichten: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
- Selbstprüfung
Niemand fordert Sie auf
Das BSI verschickt keine Bescheide zur Betroffenheit. Jede Einrichtung muss selbst prüfen, ob sie unter das Gesetz fällt, und sich dann registrieren. Wer wartet, bis jemand fragt, hat die Frist verpasst.
Was das BSI erfasst
Die Registrierung ist kein Nachweis der Umsetzung, sondern eine Stammdatenerfassung. Die Angaben sollten trotzdem stimmen, denn sie steuern, wie das BSI Sie erreicht und einordnet.
| Angabe | Worauf es ankommt |
|---|---|
| Einrichtung | Firma, Rechtsform, Anschrift, Handelsregisternummer. Bei Konzernen: die registrierungspflichtige Gesellschaft, nicht pauschal die Muttergesellschaft. |
| Sektor und Einrichtungsart | Zuordnung zu Sektor und Teilsektor der Anlage 1 oder 2 sowie die Kategorie: besonders wichtig oder wichtig. Bei mehreren Tätigkeiten alle relevanten Sektoren angeben. |
| Kontaktstelle | Funktionspostfach, Telefonnummer und benannte Personen, über die das BSI die Einrichtung jederzeit erreicht. Dieselbe Stelle ist Absender Ihrer Vorfallsmeldungen. |
| Erreichbarkeit im Netz | Angaben zu öffentlichen IP-Adressbereichen, soweit vom Portal abgefragt, damit das BSI Warnungen zu Ihren Systemen zuordnen kann. |
| Tätigkeit in anderen Mitgliedstaaten | In welchen EU-Mitgliedstaaten die Einrichtung Dienste erbringt. Relevant für die Zusammenarbeit der Aufsichtsbehörden und für grenzüberschreitende Vorfälle. |
| Zuständige Aufsicht | Soweit neben dem BSI eine weitere Aufsichtsbehörde zuständig ist, etwa in regulierten Sektoren, ist diese anzugeben. |
Praxishinweis: Legen Sie die Angaben vor dem Portalzugang in einem internen Dokument fest und lassen Sie sie von der Geschäftsleitung freigeben. Dann dauert die eigentliche Registrierung eine Stunde, und das Dokument dient später als Grundlage für Aktualisierungen.
Drei Monate, und wann sie beginnen
Das Gesetz kennt eine Frist für Bestandsfälle und eine laufende Frist für alle, die später betroffen werden. Änderungen sind laufend zu pflegen.
-
Betroffen seit dem Inkrafttreten am 6. Dezember 2025
Registrierung bis spätestens 6. März 2026. Diese Frist ist abgelaufen. Wer sie versäumt hat, sollte unverzüglich nachregistrieren, siehe unten.
-
Betroffenheit tritt später ein
Registrierung innerhalb von drei Monaten, nachdem die Einrichtung erstmals die Kriterien erfüllt: Größenschwelle überschritten, neuer Sektor durch Zukauf oder Geschäftserweiterung, Einstufung als Betreiber einer kritischen Anlage.
-
Angaben aktuell halten
Änderungen an Kontaktstelle, Anschrift, Sektor oder Kategorie sind dem BSI unverzüglich mitzuteilen. Eine veraltete Kontaktstelle ist der häufigste Fehler und im Vorfall der teuerste.
-
Betroffenheit erneut prüfen
Mit dem Jahresabschluss liegen Mitarbeiterzahl, Umsatz und Bilanzsumme fest. Prüfen Sie dann, ob sich die Kategorie geändert hat oder eine bisher nicht betroffene Gesellschaft nun unter das Gesetz fällt.
Nachregistrierung: Was jetzt zu tun ist
Eine versäumte Frist lässt sich nicht rückwirkend heilen, aber die Situation lässt sich deutlich verbessern. Entscheidend ist, dass Sie handeln, bevor das BSI oder ein Kunde nachfragt.
- Schritt 1
Einordnung schriftlich festhalten
Dokumentieren Sie Sektor, Größe und Kategorie mit Begründung und Datum. Wenn die Betroffenheit erst spät erkannt wurde, halten Sie fest, warum. Diese Dokumentation ist Ihre Grundlage gegenüber dem BSI und schützt die Geschäftsleitung.
- Schritt 2
Sofort registrieren
Registrieren Sie sich im BSI-Portal, ohne auf den Abschluss weiterer Maßnahmen zu warten. Der Bußgeldrahmen für den Registrierungsverstoß liegt bei bis zu 500.000 €; die Dauer des Verstoßes spielt bei der Bemessung eine Rolle, also verkürzen Sie sie.
- Schritt 3
Meldefähigkeit herstellen
Mit der Registrierung sind Sie auch meldepflichtig für erhebliche Sicherheitsvorfälle: Erstmeldung binnen 24 Stunden. Benennen Sie Meldeverantwortliche mit Vertretung und regeln Sie die Freigabe, bevor der erste Vorfall eintritt.
Bereit für die Registrierung?
Wenn alle Punkte erfüllt sind, ist die Registrierung ein Termin von einer Stunde. Jeder offene Punkt kostet Rückfragen.
- Die Betroffenheit ist schriftlich eingeordnet: Sektor, Größe, Kategorie, Datum, Freigabe der Geschäftsleitung.
- Die registrierungspflichtige Gesellschaft im Konzernverbund ist bestimmt.
- Ein Funktionspostfach und eine Rufnummer für die Kontaktstelle existieren und werden überwacht.
- Mindestens zwei Personen sind als Kontakt benannt, mit Vertretungsregel für Urlaub und Krankheit.
- Die Mitgliedstaaten, in denen Dienste erbracht werden, sind erfasst.
- Der Zugang zum BSI-Portal ist eingerichtet und getestet.
- Ein Termin für die jährliche Überprüfung der Angaben steht im Kalender.
Zur Registrierung
Wir waren schon am 6. Dezember 2025 betroffen und sind nicht registriert. Was jetzt?
Die Bestandsfrist ist am 6. März 2026 abgelaufen. Registrieren Sie sich jetzt nach, ohne weitere Verzögerung. Ein Verstoß gegen die Registrierungspflicht kann mit bis zu 500.000 € geahndet werden; jeder weitere Tag ohne Registrierung verschlechtert die Position, eine nachgeholte Registrierung verbessert sie. Dokumentieren Sie parallel, warum die Einordnung erst jetzt erfolgt ist.
Wann beginnt die Drei-Monats-Frist für neu betroffene Unternehmen?
Mit dem Zeitpunkt, an dem Ihr Unternehmen erstmals die Kriterien einer besonders wichtigen oder wichtigen Einrichtung erfüllt, etwa durch Wachstum über die Größenschwelle, eine Übernahme oder ein neues Geschäftsfeld in einem erfassten Sektor. Deshalb gehört die Betroffenheitsprüfung in einen jährlichen Turnus und zu jeder wesentlichen Unternehmensänderung.
Wer soll als Kontaktstelle hinterlegt werden?
Eine Funktion, nicht nur eine Person: ein Funktionspostfach und eine Rufnummer, die das BSI auch außerhalb der Bürozeiten erreichen, dahinter mindestens zwei benannte Personen mit Vertretung. Die Kontaktstelle ist zugleich der Kanal, über den Warnungen des BSI Sie erreichen und über den Sie Vorfälle melden.
Wir sind unsicher, ob wir besonders wichtig oder wichtig sind. Registrieren wir trotzdem?
Klären Sie die Einordnung vor der Registrierung, denn die Kategorie bestimmt Pflichten und Bußgeldrahmen. Die Größenkriterien sind klar: wichtig ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme, besonders wichtig ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme. Bei Sonderfällen wie Betreibern kritischer Anlagen oder mehreren Sektoren lohnt eine schriftliche Einordnung durch Fachleute, die Sie später dem BSI vorlegen können.
Was passiert nach der Registrierung?
Das BSI kennt Sie jetzt als Einrichtung und kann Sie mit Informationen und Warnungen versorgen, Nachweise verlangen und Prüfungen anordnen. Für Sie beginnt die eigentliche Arbeit: Meldeprozess, Umsetzung der Maßnahmen nach § 30 BSIG und die Pflichten der Geschäftsleitung. Halten Sie außerdem die registrierten Angaben aktuell.
Vertiefung zur NIS2-Umsetzung
-
Betroffen als Zulieferer?
Wie NIS2 über § 30 BSIG die Lieferkette erreicht und wie Sie Fragebögen und Vertragsklauseln effizient beantworten.
-
Aufwand und Dauer
Wie lange Gap-Analyse und Umsetzung je Reifegrad dauern und was Ihr Unternehmen intern leisten muss.
-
NIS2-Beratung im Überblick
Betroffenheit, Pflichten, Vorgehen in vier Schritten und die häufigsten Fragen auf der Startseite.
Marcel Rieger
Registrierung klären, bevor jemand nachfragt
Im kostenlosen Erstgespräch ordnen wir Ihre Betroffenheit ein, prüfen den Stand Ihrer Registrierung und legen fest, was bis zur Nachregistrierung zu tun ist.
- Schriftliche Einordnung von Sektor, Größe und Kategorie
- Vorbereitung der Angaben und der Kontaktstelle
- Begleitung im BSI-Portal
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen