NIS2-Registrierung beim BSI: drei Monate nach § 33 BSIG
NIS2 · 11. August 2026 · 7 Min. Lesezeit · RegelWerk RedaktionDie meisten NIS2-Projekte beginnen mit der Frage nach Maßnahmen und Meldewegen. Dabei steht am Anfang eine Pflicht, die niemanden viel kostet und trotzdem regelmäßig vergessen wird: die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik. § 33 BSIG gibt dafür drei Monate. Die Frist ist unauffällig, ihr Startpunkt dagegen nicht: Sie hängt nicht an einem Datum im Gesetz, sondern an einem Zustand im eigenen Unternehmen. Dieser Beitrag klärt, wann die Uhr anspringt und welche fünf Angaben übermittelt werden.
Die Frist: drei Monate ab Betroffenheit
§ 33 Abs. 1 BSIG verlangt von besonders wichtigen Einrichtungen, wichtigen Einrichtungen und Domain-Name-Registry-Dienstleistern die Übermittlung der Angaben „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten“. Der Auslöser ist also kein Stichtag, sondern der Eintritt der Betroffenheit.
Das hat eine Folge, die im Alltag leicht untergeht: Die Frist kann Jahre nach Inkrafttreten des Gesetzes zum ersten Mal anlaufen. Ein Unternehmen, das die Schwellen des § 28 BSIG im laufenden Jahr überschreitet, weil es Personal aufgebaut hat, wird an diesem Tag zur Einrichtung im Sinne des Gesetzes. Ab dann laufen die drei Monate.
Das Wort „erneut“ ist ebenso wichtig. Wer unter die Schwelle rutscht und später wieder darüber, registriert sich erneut. Die Pflicht ist kein einmaliger Akt bei Einführung des Gesetzes, sondern hängt am jeweils aktuellen Zustand.
- Tag 0 Betroffenheit tritt ein Die Schwellen des § 28 BSIG sind erstmals oder erneut erfüllt. Kein Bescheid, keine Benachrichtigung: Die Feststellung liegt beim Unternehmen.
- bis Monat 3 Registrierung beim Bundesamt Spätestens drei Monate später sind die Angaben nach § 33 BSIG übermittelt. Gemeint sind drei Kalendermonate, nicht 90 gezählte Tage. Gerechnet wird nach den §§ 187 ff. BGB, die für diese öffentlich-rechtliche Frist über § 31 Abs. 1 VwVfG entsprechend gelten: Tag 0 selbst zählt nicht mit (§ 187 Abs. 1 BGB), und die Frist endet mit dem Ablauf desjenigen Tages im dritten Monat, der durch seine Zahl dem Tag 0 entspricht (§ 188 Abs. 2 BGB). Fehlt dieser Tag im dritten Monat, endet die Frist mit dessen letztem Tag (§ 188 Abs. 3 BGB).
- danach Änderungen binnen zwei Wochen Anschrift, Kontaktdaten und Sektor ändern sich. Solche Änderungen sind dem Bundesamt unverzüglich zu übermitteln, spätestens binnen zwei Wochen ab Kenntnis (§ 33 Abs. 5 BSIG); die Registrierung ist kein Dokument zum Ablegen.
Wann die Betroffenheit eintritt
§ 33 Abs. 1 BSIG nennt drei Adressaten: besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister. Für die ersten beiden entscheidet die Einstufung nach § 28 BSIG, und die kennt zwei Stufen:
- Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4 BSIG): ein Sektor der Anlage 1 und mindestens 250 Beschäftigte, oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme.
- Wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG): ein Sektor der Anlage 1 oder 2 und mindestens 50 Beschäftigte, oder jeweils über 10 Mio. € Umsatz und Bilanzsumme.
Umsatz und Bilanzsumme müssen gemeinsam überschritten sein, nicht eines von beiden. Wer nur den Umsatz kennt und die Bilanzsumme nie erhoben hat, hat kein Ergebnis, sondern einen Prüffall.
Und § 28 BSIG kennt genau zwei Einrichtungsstufen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Taucht in einer Beratungsunterlage eine dritte Einrichtungskategorie auf, lohnt die Rückfrage nach der Fundstelle. Das ist kein Widerspruch zu den drei Adressaten des § 33 BSIG: Domain-Name-Registry-Dienstleister sind dort zusätzlich genannt, ohne eine eigene Stufe des § 28 BSIG zu sein.
Auf die Schwellen kommt es bei dieser dritten Gruppe nicht an: Domain-Name-Registry-Dienstleister müssen sich spätestens drei Monate, nachdem sie solche Dienste anbieten, registrieren (§ 33 Abs. 1 BSIG). Für kritische Anlagen wiederum verweist § 33 Abs. 2 BSIG auf einen eigenen Weg: Sie werden nach § 8 KRITIS-Dachgesetz registriert. Dieser Weg hat auch einen anderen Adressaten: Betreiber kritischer Anlagen übermitteln ihre Angaben nach § 8 Abs. 1 KRITIS-Dachgesetz dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, über dieselbe gemeinsam eingerichtete Registrierungsmöglichkeit.
Wie sich die Einstufung in wenigen Minuten durchspielen lässt, steht in NIS2-Betroffenheits-Check.
Die fünf Angaben, die übermittelt werden
§ 33 BSIG zählt auf, was zu übermitteln ist. Die Liste ist kurz und lässt sich in einer Sitzung zusammentragen, wenn man weiß, wer die Angaben besitzt:
| Angabe | Woher sie kommt |
|---|---|
| Name der Einrichtung, Rechtsform, falls einschlägig Handelsregisternummer | Geschäftsführung, Handelsregisterauszug |
| Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern | IT-Betrieb; die IP-Bereiche sind der Punkt, an dem es hakt |
| Relevanter Sektor nach Anlage 1 oder 2, falls einschlägig die Branche | Ergebnis der Einstufung nach § 28 BSIG |
| Mitgliedstaaten der EU, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt | Vertrieb, Konzernstruktur |
| Zuständige Aufsichtsbehörden des Bundes und der Länder für die betreffenden Tätigkeiten | Compliance; hängt am Sektor |
Übermittelt wird an das Bundesamt, und zwar über eine Registrierungsmöglichkeit, die das Bundesamt gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtet hat. Die zweite Angabe ist erfahrungsgemäß die aufwendigste: Öffentliche IP-Adressbereiche stehen in keiner Vertragsakte, sondern beim Provider und in der eigenen Netzdokumentation.
Registrierung, Meldung, Nachweis: drei verschiedene Dinge
Die Registrierung wird häufig mit der Meldepflicht verwechselt. Sie sind unabhängig voneinander und haben völlig verschiedene Zeitmaßstäbe:
- Registrieren Einmalig nach Eintritt der Betroffenheit, spätestens nach drei Monaten (§ 33 Abs. 1 BSIG). Ändern sich die Angaben später, gehen sie unverzüglich an das Bundesamt, spätestens binnen zwei Wochen ab Kenntnis (§ 33 Abs. 5 BSIG).
- Melden Im Vorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Diese Uhr läuft in Stunden, nicht in Monaten.
- Nachweisen Die Risikomanagementmaßnahmen sind laufend umzusetzen und zu belegen. Kunden fragen sie oft früher ab als jede Behörde.
Wer nur registriert ist, hat keine einzige Maßnahme umgesetzt. Wer alle Maßnahmen umgesetzt hat, aber nicht registriert ist, fällt bei der ersten formalen Prüfung auf. Die Details der Meldewege stehen in NIS2-Meldung in 24 Stunden, die Maßnahmenseite in NIS2-Pflichten konkret.
In RegelWerk hängt die Registrierung als eigener Punkt an der Einstufung: Sobald der Betroffenheits-Check eine besonders wichtige oder wichtige Einrichtung ergibt, erscheint sie mit dem Vermerk „3 Monate“ in der Pflichten-Roadmap, statt in einer Projektliste unterzugehen. Im Maßnahmen-Tracker lassen sich dazu Zuständigkeit, Fälligkeitsdatum und Stand hinterlegen. Welches Datum dort steht, entscheidet das Unternehmen: sinnvoll ist der Tag, an dem die Betroffenheit festgestellt wurde, plus drei Monate. Die Feststellung selbst bleibt eine Entscheidung des Unternehmens, und die Einstufung ersetzt keine Prüfung im Einzelfall.
Häufige Fragen
Bis wann muss ich mich nach NIS2 registrieren?
Spätestens drei Monate, nachdem Ihr Unternehmen erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG). Dieselbe Dreimonatsfrist gilt für Domain-Name-Registry-Dienstleister, gerechnet ab dem Tag, an dem sie solche Dienste anbieten. Die Frist hängt nicht an einem Stichtag im Gesetz, sondern am Eintritt der Betroffenheit. Wer die Schwellen des § 28 BSIG später überschreitet, für den beginnt sie später.
Welche Angaben verlangt die NIS2-Registrierung?
Fünf: Name der Einrichtung mit Rechtsform und gegebenenfalls Handelsregisternummer; Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern; der relevante Sektor nach Anlage 1 oder 2; die EU-Mitgliedstaaten, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt; und die zuständigen Aufsichtsbehörden des Bundes und der Länder.
An wen wird die Registrierung übermittelt?
Das hängt davon ab, welche Registrierung gemeint ist. Die Registrierung nach § 33 Abs. 1 BSIG geht an das Bundesamt für Sicherheit in der Informationstechnik, über eine Registrierungsmöglichkeit, die das Bundesamt gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtet hat. Betreiber kritischer Anlagen registrieren sich dagegen nach § 8 Abs. 1 KRITIS-Dachgesetz beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, über dieselbe gemeinsame Registrierungsmöglichkeit.
Ersetzt die Registrierung die Meldepflicht?
Nein, das sind zwei verschiedene Pflichten. Die Registrierung ist einmalig nach Eintritt der Betroffenheit; ändern sich die übermittelten Angaben, sind die Änderungen dem Bundesamt unverzüglich zu übermitteln, spätestens binnen zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat (§ 33 Abs. 5 BSIG). Die Meldepflicht greift im Vorfall mit einer Frühwarnung binnen 24 Stunden und einer Meldung binnen 72 Stunden. Auch die Risikomanagementmaßnahmen bleiben davon unberührt.
Das Wichtigste in Kürze
§ 33 Abs. 1 BSIG verlangt die Registrierung beim Bundesamt spätestens drei Monate, nachdem ein Unternehmen erstmals oder erneut als besonders wichtige Einrichtung oder als wichtige Einrichtung gilt. Dieselbe Frist trifft Domain-Name-Registry-Dienstleister ab dem Anbieten solcher Dienste. Kritische Anlagen werden über § 33 Abs. 2 BSIG nach § 8 KRITIS-Dachgesetz registriert, und zwar beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Der Auslöser ist ein Zustand im Unternehmen, kein Datum im Gesetz.
Übermittelt werden fünf Angaben: Name und Rechtsform, Anschrift und Kontaktdaten samt öffentlicher IP-Adressbereiche, der Sektor nach Anlage 1 oder 2, die EU-Mitgliedstaaten, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und die zuständigen Aufsichtsbehörden.
Registrierung, Meldung und Maßnahmen sind drei getrennte Pflichten mit drei Zeitmaßstäben. Die Registrierung ist die billigste davon und die einzige, die man schlicht vergessen kann. Vergessen lässt sich auch ihre Fortschreibung: Für Änderungen der übermittelten Angaben lässt § 33 Abs. 5 BSIG zwei Wochen ab Kenntnis.
Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.