NIS2-Registrierung beim BSI: Schritt-für-Schritt-Anleitung

NIS2-Registrierung beim BSI: Frist, Zugang und Ablauf

Prüfe zuerst deine Betroffenheit und registriere die Einrichtung anschließend im BSI-Portal. Ist deine Frist bereits abgelaufen, hole die Registrierung umgehend nach. Hier findest du den Zugang, die vorzubereitenden Angaben und die Zuständigkeiten nach dem Absenden. Nicht für jedes Unternehmen gilt derselbe Stichtag.

Wer muss sich registrieren?

Für die Einordnung sind § 28 BSIG und die Anlagen 1 und 2 maßgeblich. Neben Größenmerkmalen zählen die konkrete Tätigkeit und Ausnahmen; bestimmte Anbieter sind unabhängig von ihrer Größe erfasst. Domain-Name-Registry-Dienstleister fallen ebenfalls unter § 33 Abs. 1. Für bestimmte digitale Dienste bestehen zusätzliche Pflichten nach § 34. Betreiber kritischer Anlagen müssen außerdem die einschlägigen KRITIS-Registrierungsregeln und aktuellen BSI-Hinweise beachten.

Wenn du dir nicht sicher bist, ob dein Unternehmen betroffen ist, nutze zunächst unseren NIS2-Betroffenheitsprüfer. Der Rechner führt dich branchenspezifisch durch die relevanten Schwellenwerte und liefert eine Ampel-Einordnung als wichtige oder besonders wichtige Einrichtung.

Voraussetzungen vor der Registrierung

Bevor du das BSI-Portal öffnest, solltest du vier Dinge vorbereiten. Das spart Zeit und verhindert Abbrüche mitten im Formular.

• 1.ELSTER-Organisationszertifikat: Prüfe, ob bereits ein geeignetes Zertifikat vorhanden ist und wer es verwenden darf. Falls du ein neues benötigst, plane Aktivierung und Postlaufzeit ein. Prüfe den aktuellen Vorlauf bei ELSTER; eine feste Zusage von fünf Werktagen gibt es hier nicht.
• 2.Mein Unternehmenskonto (MUK): Das zentrale Verwaltungsportal des Bundes unter service.mein-unternehmenskonto.de. Für die Einrichtung brauchst du das ELSTER-Zertifikat.
• 3.Registrierungsdaten: Name, Rechtsform, gegebenenfalls Handelsregisternummer, Anschrift, E-Mail und Telefon, öffentliche IP-Bereiche, Sektor oder Branche, relevante EU-Mitgliedstaaten und zuständige Aufsichtsbehörden.
• 4.Kontaktdaten und Zuständigkeiten: Bereite betreute Kommunikationswege, Ansprechpersonen und Vertretungen vor. Ein operativer Eskalationsweg ist sinnvoll; aus § 33 Abs. 1 folgt keine pauschale gesetzliche 24/7-Kontaktpflicht für alle NIS2-Einrichtungen.

Schritt 1: ELSTER-Organisationszertifikat beantragen

Mit dem ELSTER-Organisationszertifikat authentifizierst du dich über MUK. Folge den aktuellen ELSTER-Anweisungen für Registrierung und Aktivierung. Kläre intern, wer den Aktivierungsbrief erhält und den Zugang verwaltet. Berechne deine Registrierungsfrist nicht anhand einer angenommenen festen Postlaufzeit.

1. Gehe zu elster.de und wähle "Konto erstellen".
2. Wähle den Kontotyp "Organisation" (nicht "Privatperson").
3. Gib Steuernummer und Postadresse deines Unternehmens ein. Die Steuernummer muss exakt mit der beim Finanzamt registrierten Firmierung übereinstimmen.
4. Bestätige die E-Mail-Adresse und warte auf den Aktivierungsbrief.
5. Schließe die Aktivierung mit den von ELSTER bereitgestellten Daten ab. Verwahre das Zertifikat sicher und beschränke den Zugriff auf berechtigte Personen.

Häufige Fehler: Falscher Kontotyp gewählt (Privatperson statt Organisation), Steuernummer stimmt nicht mit amtlicher Firmierung überein, oder die .pfx-Datei wurde nicht sicher gespeichert und ist nach Rechnerwechsel verloren. Leg das Zertifikat daher sofort in einen sicheren, zugriffsgeschützten Speicher.

Schritt 2: Mein Unternehmenskonto (MUK) anlegen

Das Mein Unternehmenskonto (MUK) ist das zentrale Verwaltungsportal der Bundesregierung. Es verknüpft das ELSTER-Zertifikat mit deiner Unternehmensidentität und erlaubt den Single-Sign-On-Zugriff auf alle angebundenen Bundesbehörden-Portale, einschließlich des BSI-Portals. Ohne MUK ist eine BSI-Registrierung nicht möglich.

1. Gehe zu service.mein-unternehmenskonto.de.
2. Melde dich mit deinem ELSTER-Organisationszertifikat an.
3. Vervollständige die Unternehmensangaben (Rechtsform, Handelsregister, Firmenanschrift).
4. Bestätige die Verknüpfung. Das MUK ist danach sofort nutzbar.

Das MUK ist nicht nur für die BSI-Registrierung relevant. Es wird langfristig der zentrale Zugang für alle digitalen Verwaltungsleistungen auf Bundesebene. Richte es sorgfältig ein und benenne intern eine verantwortliche Person für den Zugang.

Schritt 3: Im BSI-Portal registrieren

Das BSI-Portal unter portal.bsi.bund.de ist der eigentliche Registrierungsort. Plane für das Ausfüllen des Formulars 30 bis 45 Minuten ein, wenn alle Informationen vorliegen.

1. Rufe portal.bsi.bund.de auf und melde dich über das MUK-Login an.
2. Wähle den Bereich "Einrichtung anmelden" im Dashboard.
3. Gib die vollständigen Firmendaten ein: Unternehmensname, Rechtsform, Handelsregisternummer, Anschrift, Kontaktperson.
4. Wähle den zutreffenden Sektor oder die Branche nach Anlage 1 oder 2 BSIG und prüfe die Einstufung als wichtige oder besonders wichtige Einrichtung.
5. Trage die für deine Einrichtung relevanten öffentlichen IP-Bereiche im vom Portal geforderten Format ein. Private Netzwerkbereiche sind keine öffentlichen IP-Bereiche.
6. Halte die relevanten EU-Mitgliedstaaten und zuständigen Aufsichtsbehörden des Bundes oder der Länder bereit. Ergänze die weiteren Felder, die das Portal für deine Einrichtungsart verlangt.
7. Hinterlege aktuelle Kontaktdaten und die vom Portal abgefragten Ansprechpersonen. Lege fest, wer Nachrichten bearbeitet und die Angaben aktuell hält.
8. Prüfe die Angaben und schließe die Registrierung ab. Sichere den Einreichungsnachweis und die im Portal bereitgestellten Kennungen; rechne nicht mit einer festen Bestätigungsdauer.

Bereite öffentliche IP-Bereiche in CIDR-Notation vor, beispielsweise 203.0.113.0/24. Das ist ein Dokumentationsbeispiel und keine einzutragende Adresse. Folge den aktuellen Portalhinweisen für IPv4, IPv6 und mehrere Einträge.

Schritt 4: Kontaktstelle und Meldewege einrichten

Für die reguläre NIS2-Registrierung verlangt § 33 Abs. 1 aktuelle Kontaktdaten. § 33 Abs. 3 regelt die Registrierung durch das BSI bei Nichterfüllung; er schreibt keine bestimmte IT-Security-Rolle vor. Organisiere die Bearbeitung von Nachrichten, Vertretungen und die Eskalation zum Incident-Response-Team.

§ 33 Abs. 1 schließt die Geschäftsführung als Kontakt nicht generell aus. Entscheidend sind Erreichbarkeit, Befugnisse und der interne Reaktionsprozess. Für Betreiber kritischer Anlagen gelten gesonderte Vorgaben: Das BSI beschreibt für sie eine jederzeit erreichbare Kontaktstelle. Beachte die aktuellen KRITIS-Hinweise und die Übergangsregeln in § 66 BSIG. Quelle: BSI-Meldestellenübersicht

Bereite den gesonderten Meldeprozess nach § 32 BSIG vor: Frühwarnung unverzüglich und spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, Vorfallmeldung binnen 72 Stunden und Abschlussmeldung spätestens einen Monat nach dieser Vorfallmeldung. Bei noch laufenden Vorfällen tritt eine Fortschrittsmeldung an ihre Stelle. Übe den Ablauf intern, ohne fiktive Vorfälle an die Behörde zu senden. Quelle: § 32 BSIG

Nach der Registrierung: Die ersten 30 Tage

Sichere den Registrierungsnachweis und die vom Portal bereitgestellten Kennungen. Benenne eine verantwortliche Person für Prüfung und Aktualisierung der Daten. Die Registrierung ist ein Verwaltungsschritt; sie ersetzt weder Risikomanagement noch Geschäftsleitungs- oder Meldepflichten.

• •Interne Dokumentation: Lege die Einrichtungsnummer, das Registrierungsdatum und die hinterlegte Kontaktstelle in deinem Compliance-System ab. Das ist der erste Nachweis für deine NIS2-Compliance-Akte.
• •Kommunikation an Geschäftsleitung: Nach § 38 BSIG muss die Geschäftsleitung nachweislich über NIS2-Pflichten informiert werden und an Schulungen teilnehmen. Nutze die erfolgreiche Registrierung als Anlass für eine erste Management-Briefing-Session.
• •Ersten Risikomanagement-Zyklus dokumentieren: Nach § 30 BSIG bist du verpflichtet, geeignete Risikomanagementmaßnahmen zu ergreifen. Dokumentiere den Startpunkt deines ersten Risikobewertungs-Zyklus unmittelbar nach der Registrierung. Dokumentiere Ergebnisse, Verantwortliche und nächste Maßnahmen.
• •Meldeprozess testen: Simuliere intern eine hypothetische Sicherheitsmeldung, um sicherzustellen, dass alle Verantwortlichen die 24h/72h/Ein-Monat-Kette kennen. Dokumentiere den Test.

Häufige Fehler bei der BSI-Registrierung vermeiden

Diese fünf Fehler begegnen uns bei der Unterstützung von Unternehmen bei der Registrierung am häufigsten:

1. 1.Zugang zu spät geklärt: Prüfe vorhandene Zertifikate und Berechtigungen zuerst. Plane bei einem neuen Zertifikat Aktivierung und Postlaufzeit ein.
2. 2.Falsche Sektorzuordnung: Eine fehlerhafte Einordnung in Anhang I statt Anhang II oder umgekehrt kann dazu führen, dass du in eine falsche Einrichtungskategorie fällst und damit andere (höhere oder niedrigere) Pflichten hast. Prüfe die Sektordefinitionen des BSI und ziehe im Zweifelsfall rechtliche Beratung hinzu.
3. 3.IP-Bereiche falsch notiert: Das Formular erwartet CIDR-Notation. Einzel-IPs ohne /32, IP-Ranges mit Bindestrichen oder fehlende Subnetzmasken führen zu Validierungsfehlern. Bereite die Liste vorab in einem Texteditor auf.
4. 4.Keine Zuständigkeit für Nachrichten: Ein Kontakteintrag allein ist kein Reaktionsprozess. Definiere Bearbeitung, Vertretung und Eskalation; wähle die Rolle anhand dieser Aufgaben.
5. 5.Registrierung und Vorfallmeldung verwechselt: Die dreimonatige Registrierungsfrist ist von den 24- und 72-Stunden-Meldefristen zu unterscheiden. Richte einen internen Reaktionsprozess ein, der diese Fristen einhalten kann.

Bußgeldrahmen bei fehlender Registrierung

Wer vorsätzlich oder fahrlässig Registrierungsangaben nicht, falsch, unvollständig oder verspätet übermittelt, fällt unter § 65 Abs. 2 Nr. 6 BSIG. Der zugehörige Höchstbetrag beträgt 500.000 EUR nach § 65 Abs. 5 Satz 1 Nr. 5. Für andere Verstöße gelten eigene Bußgeldrahmen; eine wiederholte Registrierungsverletzung führt nicht automatisch zum Höchstbetrag von 10 Mio. EUR oder 2 % des Umsatzes. Quelle: § 65 BSIG. Hole eine überfällige Registrierung umgehend nach; daraus folgt keine Zusage einer milderen Behandlung.

Häufige Fragen