NIS-2-Informationspakete zu Meldepflichten und Risikoanalyse
Mit dem Inkrafttreten des neuen BSI-Gesetzes am 6. Dezember 2025 wurde die europäische NIS‑2-Richtlinie in deutsches Recht umgesetzt. Ziel ist es, die Cybersicherheit deutlich zu stärken – insbesondere bei Unternehmen mit hoher Bedeutung für Wirtschaft, Versorgung und Gesellschaft. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Die Registrierung hätte ursprünglich bis zum 6. März 2026 erfolgen müssen. Das BSI geht davon aus, dass ein erheblicher Teil der betroffenen Unternehmen noch nicht registriert ist. Laut BSI muss die Registrierung nun spätestens bis zum 31. Juli 2026 abgeschlossen sein.
Unternehmen wird empfohlen, die Betroffenheit zu prüfen und die Einschätzung zu dokumentieren. Zudem empfiehlt sich die Registrierung im BSI-Portal, was noch nicht die NIS-2 Registrierung bedeutet, sondern den grundsätzlichen Zugang zu Angeboten des BSI wie die Allianz für Cybersicherheit. Die NIS-2 Registrierung kann dort erfolgen, muss aber nicht.
Was muss konkret getan werden?
1. NIS2-Betroffenheit prüfen und dokumentieren
- Nutzen Sie die BSI-FAQ und Betroffenheitsprüfung.
- Ziehen Sie ggf. rechtliche Beratung hinzu.
- Sowohl bei Registrierung als auch bei Nicht‑Betroffenheit ist eine Dokumentation der Entscheidung wichtig als Nachweis gegenüber dem BSI.
2. Starten der Registrierung im BSI‑Portal
- Diese Registrierung ermöglicht den Zugriff auf das BSI-Portal und ist nicht die eigentliche NIS-2-Registrierung. Im BSI-Portal selbst wird neben einigen weiteren Angeboten (z. B. Beitritt zur „Allianz für Cybersicherheit“) die eigentliche NIS-2 Registrierung optional angeboten.
- Die Registrierung selbst erfolgt über das Unternehmenskonto (MUK) mit ELSTER‑Zertifikat. Sie benötigen dafür die Steuernummer der jeweiligen juristischen Person und Kontaktdaten eines Ansprechpartners. Per Briefpost erhält das Unternehmen nach dem Abschicken einen Aktivierungscode. Achtung: Dieser Brief wird nicht an den Ansprechpartner verschickt, sondern an die Elster-Kontaktadresse des Unternehmens (Buchhaltung, Personalabteilung etc.). Gibt man den Aktivierungscode ein, erhält der Ansprechpartner per Mail das für Logins nötige Zertifikat.
- Wichtig: Jede juristische Person muss sich separat registrieren
3. intern Verantwortlichkeiten klären
- Wer ist zuständig für die Registrierung im BSI-Portal und die interne Zuteilung von Berechtigungen?
Der Ansprechpartner der erstmaligen Registrierung ist der Verwalter für alle nachfolgenden Registrierungen. Die Registrierungen sind an den jeweils genannten Ansprechpartner gebunden. - Wer verwaltet wie die ELSTER-Zertifikate und die zugehörigen Passwörter des Unternehmens?
Falls die Verantwortung bei einzelnen Personen liegt, sollten sichere Passwörter verwendet und in einem Passwort‑Safe gespeichert werden.
Quelle: DIHK
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zwei NIS-2-Informationspakete veröffentlicht: NIS-2-Meldepflicht und NIS-2-Risikoanalyse.
Das Informationspaket zur NIS-2-Meldepflicht gibt Hinweise zur Pflicht von Meldungen erheblicher Sicherheitsvorfälle, zu Meldefristen- und Inhalten und dazu, was das BSI im Meldefall mit den Informationen macht.
Das Informationspaket zur NIS-2- Risikoanalyse enthält Informationen zur Risikoanalyse als Teil der Risikomanagementmaßnahmen, die NIS-2-betroffene Unternehmen umsetzen müssen.
Geplant ist, auch zu weiteren Teilaspekten der NIS-2-Umsetzung ähnliche Pakete zu veröffentlichen.
Quelle: BSI