2 min
Lesezeit
Registrierung bis Ende Juli prüfen
Für viele Unternehmen wird Cybersicherheit zur Pflichtaufgabe. Mit dem neuen BSI-Gesetz wurde die europäische NIS-2-Richtlinie in deutsches Recht umgesetzt. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren.
Die ursprüngliche Frist endete am 6. März 2026. Nach Einschätzung des BSI ist ein erheblicher Teil der betroffenen Unternehmen bislang aber nicht registriert. Unternehmen sollten die Registrierung deshalb spätestens bis zum 31. Juli 2026 abschließen.
Wer betroffen sein kann
Betroffen sein können vor allem mittlere und große Unternehmen ab 50 Mitarbeitenden oder über zehn Millionen Euro Jahresumsatz und über zehn Millionen Euro Jahresbilanzsumme in einer Vielzahl von Sektoren. Dazu zählen unter anderem Energie, Verkehr, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur, IT-Dienstleister, Chemie, Lebensmittelproduktion, Abfallwirtschaft, verarbeitendes Gewerbe, Post- und Kurierdienste, digitale Dienste und Forschungseinrichtungen. Einige Anbieter können unabhängig von ihrer Größe betroffen sein, etwa DNS- und Domain-Anbieter, Telekommunikationsanbieter oder Vertrauensdiensteanbieter.
Erst prüfen, dann registrieren
Der erste Schritt ist die Betroffenheitsprüfung. Unternehmen sollten klären, ob sie unter NIS-2 fallen, und das Ergebnis dokumentieren. Das gilt auch dann, wenn sie zu dem Schluss kommen, nicht betroffen zu sein. Helfen können die FAQ und die Betroffenheitsprüfung des BSI sowie die NIS-2-Anlaufstelle NRW. In unklaren Fällen kann rechtliche Beratung sinnvoll sein.
Wichtig ist auch die Unterscheidung zwischen dem Zugang zum BSI-Portal und der eigentlichen NIS-2-Registrierung. Die Registrierung im Portal schafft zunächst den Zugang zu Angeboten des BSI, etwa zur Allianz für Cybersicherheit. Die eigentliche NIS-2-Registrierung kann anschließend im Portal erfolgen.
Portalzugang ist nicht gleich NIS-2-Registrierung
Für den Portalzugang brauchen Unternehmen ein Unternehmenskonto mit ELSTER-Zertifikat. Erforderlich sind unter anderem die Steuernummer der jeweiligen juristischen Person und die Kontaktdaten eines Ansprechpartners. Nach dem Antrag verschickt das System einen Aktivierungscode per Brief. Dieser geht an die ELSTER-Kontaktadresse des Unternehmens, also nicht zwingend an die Person, die im Antrag genannt wurde.
Jede juristische Person muss sich separat registrieren. Unternehmen sollten deshalb intern klären, wer die Registrierung übernimmt, wer Berechtigungen verwaltet und wie ELSTER-Zertifikate sowie Passwörter sicher abgelegt werden.
Die IHK Nord Westfalen bündelt Praxisfragen von Unternehmen und leitet sie anonymisiert an das BSI weiter. Unternehmen können dafür eine Mail an kerstin.weidner@ihk-nordwestfalen.de schreiben. Das BSI will offene Punkte gesammelt in seinen FAQ beantworten. Unternehmen aus dem Münsterland und der Emscher-Lippe-Region können ihre Fragen daher an die IHK geben.
Weitere Informationen:
Kontakt
Redaktion Wirtschaftsspiegel