NIS-2-Durchsetzung: BSI startet Anhörungen bei fehlenden Registrierungen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereitet die konkrete Durchsetzung der NIS-2-Vorgaben für betroffene Organisationen vor. Wie BSI-Abteilungsleiter Timo Hauschild Anfang Oktober darlegte, startet die Behörde noch im vierten Quartal 2026 eine Durchsetzungsinitiative.

Im Fokus stehen dabei zunächst Einrichtungen, die ihrer gesetzlichen Registrierungspflicht bislang nicht nachgekommen sind. Ein sofortiges Bußgeld sieht das Vorgehen nicht vor; die Behörde setzt in der ersten Phase auf ein formelles Anhörungsverfahren.

Deutliche Lücke bei den behördlichen Registrierungen

Hintergrund der Initiative ist eine erhebliche Diskrepanz zwischen den erwarteten und den tatsächlich gemeldeten Einrichtungen. Mit Stand vom 30. September 2026 waren beim BSI 20.141 Einrichtungen registriert, unter Einbeziehung von Nebenniederlassungen lag die Zahl bei 20.373. Die Behörde rechnet jedoch insgesamt mit knapp 30.000 betroffenen Organisationen in Deutschland. Damit fehlt bislang gut ein Drittel der verpflichteten Betriebe im behördlichen Register.

Wer sich mit den neuen gesetzlichen Anforderungen an die IT-Sicherheit befasst, muss neben der Registrierung auch die zunehmenden Risiken durch neue Technologien im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Aktuelle Cyber-Risiken und Gesetze jetzt kostenlos einsehen

Die Registrierungspflicht ist in § 33 Abs. 1 des BSI-Gesetzes geregelt. Organisationen müssen sich spätestens drei Monate nach ihrer Einstufung als betroffene Einrichtung registrieren. Ein Versäumnis stellt nach § 65 Abs. 2 Nr. 6 BSIG eine Ordnungswidrigkeit dar.

Gemäß § 65 Abs. 5 BSIG drohen bei Verstößen Geldbußen von bis zu 500.000 Euro. Zudem besteht eine gesetzliche Dokumentationspflicht nach § 30 Abs. 1 BSIG, deren Verletzung nach § 65 Abs. 2 Nr. 3 BSIG ebenfalls als Ordnungswidrigkeit eingestuft wird.

Zeitplan für IT-Prüfungen und Nachweise

Neben der Erfassung der Betriebe sieht der Umsetzungsfahrplan des BSI weitere Stufen vor. Ab dem ersten Quartal 2027 plant die Behörde, einzelne Einrichtungen zu gezielten IT-Prüfungen mit Nachweisen anzuweisen. Die Rechtsgrundlage hierfür bildet § 61 Abs. 1 BSIG. Bei wichtigen Einrichtungen greift hingegen § 62 BSIG, wonach entsprechende Überprüfungen nur anlassbezogen erfolgen dürfen.

Die Schließung von Sicherheitslücken und die Erfüllung gesetzlicher Anforderungen lassen sich oft ohne massive Investitionen in die IT-Abteilung realisieren. Ein Gratis-E-Book enthüllt, wie Sie Ihr Unternehmen proaktiv schützen und gleichzeitig die Compliance-Vorgaben meistern. Leitfaden für IT-Sicherheit und Compliance gratis herunterladen

Umfassende Nachweise gemäß § 61 Abs. 3 BSIG verlangt der Gesetzgeber erst mit einem zeitlichen Vorlauf: Diese sind frühestens drei Jahre nach Inkrafttreten der entsprechenden Regelungen fällig und damit nicht vor Dezember 2028 zu erbringen. Die Durchsetzungsinitiative des BSI konzentriert sich daher zunächst auf die Schließung der Registrierungslücken und die Einleitung von Anhörungen bei säumigen Einrichtungen.