NIS2-Registrierung beim BSI: Komplette Anleitung in 3 Schritten

Bin ich betroffen? Die Betroffenheitsprüfung

Die NIS2-RichtlinieNIS2-Richtlinie gilt für wesentliche und wichtige Einrichtungen. Entscheidend: Die Betroffenheit wird nicht automatisch festgestellt. Unternehmen müssen selbst prüfen, ob sie unter den Anwendungsbereich fallen.

Sie sind betroffen, wenn Ihr Unternehmen:

- in einem erfassten Sektor tätig ist (z.B. IT-Dienstleistungen, Gesundheit, Energie, Transport, digitale Infrastruktur, produzierendes Gewerbe, Finanzwesen)

- mindestens 50 Mitarbeitende beschäftigt

- mindestens 10 Mio. EUR Jahresumsatz oder Bilanzsumme erreicht

Wichtig: Berechnen Sie die Schwellenwerte inklusive Partner- und verbundener Unternehmen, sofern diese nicht rechtlich, wirtschaftlich und technisch unabhängig sind.

Dokumentieren Sie Ihre Betroffenheitsprüfung - sie ist der erste Compliance-Nachweis.

Der Registrierungsprozess: Schritt-für-Schritt-Anleitung

Die NIS2-Registrierung beim BSI erfolgt zweistufig. Planen Sie mindestens 1-2 Wochen ein, wenn Sie noch kein ELSTER-Organisationszertifikat besitzen.

Schritt 1: ELSTER-Organisationszertifikat sichern

Das ELSTER-Organisationszertifikat ist die Grundlage für alles Weitere. Ohne dieses Zertifikat ist keine Registrierung möglich.

- Prüfen Sie sofort, ob Ihr Unternehmen bereits ein ELSTER-Organisationszertifikat besitzt (meist in der Steuerabteilung oder beim Steuerberater).

- Falls vorhanden: Stellen Sie sicher, dass Sie Zugriff auf die Zertifikatsdatei und das zugehörige Passwort haben.

- Falls nicht vorhanden: Beantragen Sie das Zertifikat umgehend unter mein-unternehmenskonto.de. Die Beantragung kann mehrere Tage bis Wochen dauern.

Zeitbedarf: Sofort pruefbar, Neubeantragung 3-14 Tage.

Schritt 2: Mein Unternehmenskonto (MUK) einrichten

Das MUK ist das behördenübergreifende Unternehmenskonto, über das Sie sich beim BSI-Portal authentifizieren.

1. Rufen Sie portal.bsi.bund.de auf.

2. Klicken Sie auf 'Mit MUK anmelden' - Sie werden zur ELSTER-Website weitergeleitet.

3. Laden Sie Ihr ELSTER-Organisationszertifikat hoch und geben Sie das Passwort ein.

4. Bestätigen Sie die Datenweitergabe Ihrer Unternehmensstammdaten an das BSI.

5. Sie werden automatisch zum BSI-Portal weitergeleitet.

Die Unternehmensdaten (Name, Rechtsform, Anschrift, Registerinformationen) werden automatisch aus dem ELSTER-Zertifikat übernommen. Sollten Daten nicht korrekt sein, müssen diese zuerst bei Mein ELSTER korrigiert werden.

Zeitbedarf: 15-30 Minuten.

Schritt 3: NIS2-Registrierung im BSI-Portal abschließen

Nach erfolgreicher MUK-Anmeldung navigieren Sie zum NIS-2-Bereich im BSI-Portal:

1. Klicken Sie auf 'Zur NIS-2' bei den Fachverfahren oder nutzen Sie die vertikale Navigationsleiste.

2. Wählen Sie 'Zur NIS-2-Registrierung'.

Folgende Angaben werden abgefragt:

- Stellen des Bundes: Wählen Sie, ob Ihre Einrichtung eine Bundesbehoerde oder vergleichbare Stelle ist.

- KRITIS-Status: Geben Sie an, ob Sie als Betreiber einer kritischen Anlage registriert sind (inkl. Institutions-ID).

- Unternehmensgroesse: Mitarbeitende, Jahresumsatz und Bilanzsumme.

- Sektor und Branche: Wählen Sie per Dropdown Ihren Sektor, die Branche und die Einrichtungsart.

- EU-Mitgliedstaaten: Alle Länder angeben, in denen Ihre Einrichtung Dienste erbringt.

- Aufsichtsbehoerden: Alle zustaendigen Behörden des Bundes und der Länder benennen.

- Einstufung: Das Portal ordnet Sie automatisch als wichtige oder besonders wichtige Einrichtung ein.

- Kontaktstelle: Benennen Sie eine 24/7-erreichbare Kontaktstelle für Sicherheitsvorfälle.

- IP-Adressbereiche: Öffentlich erreichbare IP-Ranges Ihres Unternehmens angeben.

Zeitbedarf: 30-60 Minuten (abhängig von der Komplexität Ihrer Organisation).

Verantwortung der Geschäftsleitung

Mit dem NIS2-Umsetzungsgesetz wird Cybersicherheit ausdrücklich zur Leitungsaufgabe. Die Geschäftsleitung trägt die gesetzliche Verantwortung für Billigung, Überwachung und Wirksamkeit der Maßnahmen. Sie muss die Umsetzung aktiv überwachen und sich nachweislich fortbilden.

Die operative Umsetzung kann delegiert werden - die rechtliche Gesamtverantwortung jedoch nicht. Verstöße gegen Registrierungs-, Sicherheits- oder Meldepflichten können zu erheblichen Bußgeldern führen.

Nach der Registrierung: Was sofort gilt

Die Registrierung ist nicht der Abschluss, sondern der Startpunkt Ihrer NIS2-Compliance.

Meldepflicht bei Sicherheitsvorfällen

Bei erheblichen Sicherheitsvorfällen tickt die Uhr:

- 24 Stunden: Erstmeldung (Frühwarnung) nach Bekanntwerden

- 72 Stunden: Detaillierte Bewertung des Vorfalls

- 30 Tage: Abschließender Bericht zur Ursachenanalyse

Ihre Incident-Response-Prozesse müssen so robust sein, dass Meldungen auch an Feiertagen und Wochenenden rechtssicher über das BSI-Portal erfolgen können.

Weitere Pflichten

- Nachweis von Maßnahmen zum Risikomanagement

- Implementierung eines Betrieblichen Kontinuitätsmanagements (BKM)

- Festlegung von Zuständigkeiten und Verantwortlichkeiten

- Aufbau und Pflege einer prüffähigen Dokumentation

- Regelmäßige Schulung und Sensibilisierung der Mitarbeitenden

Häufige Fehler und Stolpersteine

- Kein ELSTER-Zertifikat vorhanden: Die Beantragung dauert Tage bis Wochen. Wer jetzt noch keins hat, muss sofort handeln.

- Falsche Schwellenwerte: Partner- und verbundene Unternehmen werden bei der Berechnung vergessen.

- Falsche Sektorzuordnung: Unternehmen mit Aktivitäten in mehreren Sektoren müssen jede Einrichtungsart separat registrieren.

- Keine 24/7-Kontaktstelle: Das BSI verlangt eine rund um die Uhr erreichbare Ansprechperson.

- Betroffenheit nicht dokumentiert: Die Pruefung, ob Sie unter NIS2 fallen, muss nachweisbar sein.

Was passiert, wenn Sie die Frist verpassen?

Unternehmen, die sich nicht fristgerecht registrieren, verstoßen gegen ihre gesetzlichen Pflichten nach Paragraphen 33 und 34 BSIG. Die möglichen Konsequenzen:

- Bußgelder bis zu 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes (für besonders wichtige Einrichtungen)

- Bußgelder bis zu 7 Mio. EUR oder 1,4% des weltweiten Jahresumsatzes (für wichtige Einrichtungen)

- Persönliche Haftung der Geschäftsleitung

- Aufsichtsmaßnahmen durch das BSI

Ihre Checkliste: Jetzt handeln

1. ELSTER-Organisationszertifikat prüfen - liegt es vor? Haben Sie das Passwort?

2. Betroffenheitsprüfung dokumentieren - in welchem Sektor, welche Schwellenwerte?

3. MUK einrichten unter portal.bsi.bund.de

4. NIS2-Registrierung im BSI-Portal abschließen

5. 24/7-Kontaktstelle benennen und im Portal hinterlegen

6. Incident-Response-Prozess für 24h-Meldefrist vorbereiten

7. Geschäftsleitung informieren und Governance-Prozess aufsetzen

Lesen Sie auch unseren Überblicksartikel zur strategischen Einordnung: NIS2: Registrierungspflicht bis 6. März 2026 – Warum Cybersicherheit Chefsache ist

Fazit

Die NIS2-Registrierung ist kein technisches Ticket, sondern Ihre digitale Versicherungspolice. Wer die Frist bis zum 6. März verpasst, schafft ein vermeidbares regulatorisches Risiko mit potenziellen Bußgeld- und Haftungsfolgen.

Handeln Sie jetzt: Prüfen Sie die ELSTER-Verfügbarkeit noch heute.

Sie benötigen Unterstützung bei der NIS2-Umsetzung? ADVISORI begleitet Sie von der Betroffenheitsprüfung über die Registrierung bis zum vollstaendigen Sicherheitskonzept. Sprechen Sie uns an.