Mit der neuen Gesetzeslage wurde der Anwendungsbereich des BSI-Gesetzes erheblich ausgeweitet: Unternehmen bestimmter Branchen, die definierte Schwellenwerte hinsichtlich Mitarbeiterzahl, Umsatz und Bilanzsumme überschreiten, werden künftig als „wichtige“ oder „besonders wichtige Einrichtungen“ eingestuft.
Mit dieser Einstufung gehen drei wesentliche Verpflichtungen einher:
Registrierung als NIS-2-betroffenes Unternehmen beim BSI
Meldung erheblicher Sicherheitsvorfälle
Einführung und Dokumentation geeigneter Risikomanagementmaßnahmen
Die Registrierung beim BSI hätte bis Anfang März stattfinden müssen. Die Realität zeigt jedoch ein anderes Bild: Auch Monate nach Inkrafttreten der NIS-2-Richtlinie haben sich noch immer zahlreiche Unternehmen nicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert. Obwohl die ursprüngliche Frist bereits abgelaufen ist, haben sich von rund 29.500 erwarteten Unternehmen bislang weniger als die Hälfte registriert.
Das BSI hat daher eine Nachfrist bis Ende Juli 2026 gesetzt. Medienberichten zufolge geht die Behörde davon aus, dass alle noch ausstehenden Registrierungen bis spätestens 31. Juli 2026 abgeschlossen werden; bis Ende Mai hatten sich rund 18.500 Einrichtungen registriert.
Unternehmen, die dieser Verpflichtung weiterhin nicht nachkommen, müssen mit erheblichen Konsequenzen rechnen: Es drohen Bußgelder von bis zu 500.000 Euro.
Es schadet im Übrigen auch nicht sich zunächst zu registrieren, denn sofern der Anwendungsbereich nicht eröffnet, kann nach unseren Erfahrungen auch unbürokratisch von der Registrierung wieder Abstand genommen werden.
Unternehmen sollten zeitnah prüfen, ob sie vom Anwendungsbereich erfasst sind und ob sämtliche Registrierungs- und Organisationspflichten erfüllt wurden. Gerne begleiten wir Sie dabei mit unserer Erfahrung und stehen Ihnen jederzeit beratend zur Seite.
