NIS2: Warum die Registrierungspflicht auch kleinere IT-Dienstleister betreffen kann
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Seitdem gilt eine Registrierungspflicht beim BSI – und die betrifft nicht nur große Konzerne. Managed Service Provider, DNS-Anbieter, Cloud- und Rechenzentrumsdienste stehen ausdrücklich im Gesetz, teils unabhängig von der Mitarbeiterzahl.
11.500 → 19.058 registrierte Einrichtungen
WAS IST NIS2?
Mehr als nur ein Eintrag im BSI-Portal
Das BSI-Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen und verlangt von beiden weit mehr als eine einmalige Anmeldung.
Risikomanagement
Sicherheitskonzepte, Backup, Zugriffskontrolle, Kryptographie und Lieferkettensicherheit gehören ausdrücklich dazu.
Meldepflichten
Erheblichen Sicherheitsvorfällen folgt ein gestuftes Verfahren: 24 Stunden, 72 Stunden, Abschlussmeldung.
Geschäftsleitung
§ 38 BSIG verpflichtet die Geschäftsleitung persönlich zu Umsetzung, Überwachung und Schulung.
Aufsicht durch das BSI
Registrierung, Auskunftsrechte und Bußgelder bis zu 10 Mio. € stehen ausdrücklich im Gesetz.
Zwei Einrichtungsarten, zwei Schwellenwerte
Wichtige Einrichtungen: ab 50 Mitarbeitern oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Besonders wichtige Einrichtungen: ab 250 Mitarbeitern oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme. § 28 BSIG verweist dafür auf die EU-Empfehlung 2003/361/EG – unter Umständen zählen auch Partner- und verbundene Unternehmen mit.
GRÖSSE IST NICHT ALLES
Digitale Infrastruktur steht ausdrücklich im Gesetz
Anlage 1 BSIG nennt den Sektor „Digitale Infrastruktur“ mit konkreten IT-Leistungen – unabhängig davon, ob dahinter ein Konzern oder ein kleines Systemhaus steht.
Managed Service Provider
Installation, Verwaltung, Betrieb oder Wartung von IKT, Netzwerken und Systemen – vor Ort oder remote. Für klassische MSPs gelten grundsätzlich die normalen Größenschwellen.
DNS-Diensteanbieter
Gilt nach § 28 Abs. 1 Nr. 2 BSIG als besonders wichtige Einrichtung – ohne 50-Mitarbeiter- oder Umsatzschwelle.
Cloud, Rechenzentrum, CDN
Auch Cloud-Computing-Dienste, Rechenzentrumsdienste, CDNs und TLD-Registries stehen ausdrücklich in Anlage 1.
DIE PRAXIS
Registrierung ist nur der erste Schritt
Wer registriert ist, ist damit noch nicht automatisch NIS2-konform – und die Registrierung selbst läuft in zwei Schritten.
Vor der eigentlichen NIS2-Registrierung steht ein eigenständiger Schritt: das Anlegen eines „Mein Unternehmenskonto“ (MUK). Ohne dieses Konto kommt man gar nicht erst zum BSI-Portal.
Das MUK wird über muk.bsi.bund.de angelegt und per ELSTER-Organisationszertifikat authentifiziert. Erst danach ist die NIS2-Registrierung selbst möglich.
1. ELSTER-Organisationszertifikat 2. MUK-Konto anlegen (muk.bsi.bund.de) 3. Login im BSI-Portal zur NIS2-Registrierung 4. Registrierungsdaten eintragen & absenden
Wer die Frist verpasst hat, ist nicht aus der Pflicht: § 33 BSIG erlaubt dem BSI, eine Einrichtung nötigenfalls selbst zu registrieren und Auskünfte zu verlangen. Eine nachträgliche Registrierung sollte deshalb nicht weiter aufgeschoben werden.
BSI-Selbstcheck (unverbindlich): NIS-2-Betroffenheitsprüfung des BSI Registrierung: BSI-Portal – nicht das alte MIP
AKTUELLER STAND
Von 11.500 zu 19.058 Registrierungen
Die Zahlen zur Registrierungsquote haben sich seit dem Fristablauf im März 2026 deutlich weiterentwickelt – und sollten nicht mit dem alten Stand zitiert werden.
6. März 2026
Ablauf der gesetzlichen Drei-Monats-Frist nach § 33 BSIG. Rund 11.500 Einrichtungen waren registriert, bezogen auf die Schätzung von 29.500 rund 38,5 %.
31. Juli 2026
Keine neue gesetzliche Frist, aber eine behördliche Nachfrist des BSI. Bis dahin waren 19.058 Einrichtungen registriert.
August 2026
Die Bundesregierung stellte klar: Sie sieht aktuell keine Registrierungslücke – die 29.500 waren stets nur eine Schätzung, keine belastbare Gesamtzahl.
Woher stammt die Zahl 29.500 überhaupt?
Sie beruht auf einer Schätzung des Statistischen Bundesamts, nicht auf einer Zählung tatsächlich betroffener Einrichtungen. Zusätzlich wurde kurz vor der Sommerpause 2026 eine Änderung an KRITIS-Dachgesetz und BSIG verabschiedet und erst am 28. Juli 2026 im Bundesgesetzblatt Nr. 221 veröffentlicht – was genau sich dadurch an Zählweise oder Zuständigkeit verschoben hat, ist öffentlich noch nicht abschließend aufgearbeitet. Die „39 Prozent“-Schlagzeile vom März 2026 ist damit heute veraltet.
ZWEI EINORDNUNGEN
Kunden und Bußgelder
Was bedeutet das für Kunden eines IT-Dienstleisters?
Wer Server administriert, Backups verwaltet oder Admin-Zugänge besitzt, ist Teil der technischen Lieferkette seiner Kunden. Das macht den Dienstleister nicht automatisch selbst NIS2-pflichtig – ein NIS2-pflichtiger Kunde wird seinen Dienstleister aber genauer prüfen.
Was droht bei Verstößen?
Für die reine Verletzung der Registrierungspflicht sieht § 65 BSIG eine Obergrenze von 500.000 € vor – deutlich niedriger als die bis zu 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen), die bei fehlendem Risikomanagement oder versäumten Meldungen drohen können.
CHECKLISTE
Was IT-Dienstleister jetzt prüfen sollten
Die richtige Reihenfolge lautet: Leistung → Einrichtungsart → Sektor → Größenkriterien → Sonderregelungen → Einstufung.
Welche Leistungen erbringen wir?
MSP, MSSP, Cloud, Rechenzentrum, CDN, DNS – oder ein anderer NIS2-Sektor aus Anlage 1/2?
Wie groß ist das Unternehmen?
Mitarbeiterzahl, Umsatz, Bilanzsumme – und ggf. verbundene bzw. Partnerunternehmen nach 2003/361/EG.
Gibt es eine Sonderregel?
DNS-Anbieter, TLD-Registries und Betreiber kritischer Anlagen zählen unabhängig von der Größe.
Sind wir bereits registriert?
MUK-Konto und BSI-Portal – und sind Kontaktdaten sowie IP-Bereiche noch aktuell?
Ist Risikomanagement umgesetzt?
Backup, Patch-Management, MFA und Zugriffskontrolle gehören zum Kern von § 30 BSIG.
Gibt es einen Meldeprozess?
Wer erkennt, bewertet und meldet einen erheblichen Vorfall innerhalb von 24 und 72 Stunden?
Ist die Geschäftsleitung eingebunden?
§ 38 BSIG verlangt Umsetzung, Überwachung und regelmäßige Schulung auf Leitungsebene.
FAZIT
NIS2 beginnt nicht bei 250 Mitarbeitern
Die entscheidende Frage lautet nicht „Sind wir groß genug für NIS2?“, sondern: Welche Leistungen erbringen wir, welchem Sektor und welcher Einrichtungsart sind sie zuzuordnen – und welche Größen- oder Sonderregelungen gelten für uns?
Die gesetzliche Registrierungsfrist vom 6. März 2026 ist vorbei, die Registrierungspflicht selbst besteht aber weiter. Wer als MSP, MSSP, Cloud-, Rechenzentrums- oder DNS-Anbieter arbeitet, sollte die eigene Einordnung jetzt nachholen, statt sich auf die zuletzt entspanntere Tonlage der Bundesregierung zu verlassen.
Hinweis: Dieser Beitrag dient der technischen und organisatorischen Orientierung und ersetzt keine individuelle Rechtsberatung. Maßgeblich sind das aktuelle BSIG, seine Anlagen sowie die konkrete Unternehmensstruktur.
FAQ
Häufige Fragen zur NIS2-Registrierung
QUELLEN
Quellen und Links
- BSI-Gesetz (BSIG) in der seit 6.12.2025 geltenden Fassung, insb. §§ 28, 30, 32, 33, 38, 65
- BSI: NIS-2-Betroffenheitsprüfung (automatisierte, unverbindliche Ersteinschätzung)
- BSI-Portal zur NIS2-Registrierung sowie muk.bsi.bund.de für das Unternehmenskonto
- Bundesregierung: Antwort auf parlamentarische Anfrage, August 2026 (Registrierungsstand 19.058, Einordnung der 29.500-Schätzung)
- Bundesgesetzblatt Nr. 221 vom 28. Juli 2026 (Änderung KRITIS-Dachgesetz/BSIG)
NIS2-Einordnung für Ihre IT?
Ob Registrierung, Risikomanagement oder Meldeprozess: Nutzen Sie unsere IT-Leistungen.
