Kritische Infrastruktur: Regierung sieht keine Registrierungslücke bei NIS2

Was geschehen ist – die Kernmeldung ausführlich

Die Umsetzung der europäischen NIS2-Richtlinie zur Cybersicherheit in Deutschland sorgt derzeit für Diskussionen über die Reichweite der behördlichen Erfassung. Ursprünglich ging die Bundesregierung davon aus, dass knapp 30.000 Unternehmen und Einrichtungen unter die neuen Meldepflichten fallen würden. Diese Zahl wurde im Rahmen des Gesetzgebungsverfahrens als Schätzung für die betroffenen Akteure der kritischen Infrastruktur sowie wichtige und besonders wichtige Einrichtungen zugrunde gelegt. Aktuelle Daten zeigen jedoch eine deutliche Diskrepanz: Zum Stichtag 31. Juli 2026 hatten sich lediglich 19.058 Firmen und Institutionen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert. Das bedeutet, dass rund 10.000 Unternehmen weniger als ursprünglich kalkuliert den Weg zur Registrierungsstelle gefunden haben. Trotz dieser erheblichen Differenz von etwa einem Drittel gegenüber der Prognose weist die Bundesregierung den Verdacht zurück, dass es sich hierbei um eine systemische Registrierungslücke handeln könnte. Das Bundesinnenministerium betonte am 11. August 2026, dass man die aktuelle Situation nicht als Indiz für ein Scheitern oder ein Versäumnis bei der Umsetzung der Richtlinie werte. Stattdessen wird die Diskrepanz auf die methodische Grundlage der ursprünglichen Schätzung zurückgeführt, die auf statistischen Daten aus einem Zeitraum von 2019 bis 2022 basierte und somit möglicherweise nicht die aktuelle wirtschaftliche Realität präzise abbildet.

Die Einzelheiten – Zahlen, Namen und Zeitangaben

Die konkreten Zahlen des Bundesinnenministeriums und des BSI zeichnen ein differenziertes Bild der aktuellen Lage. Im offiziellen Gesetzentwurf wurde eine Gesamtzahl von 29.850 registrierungspflichtigen Akteuren veranschlagt. Demgegenüber steht die tatsächliche Anmeldezahl von 19.058 Einheiten, die bis zum Ende der verlängerten Frist am 31. Juli 2026 beim BSI eingegangen ist. Eine detailliertere Auswertung liegt für den Zeitraum bis zum 30. Juni 2026 vor, an dem insgesamt 17.945 Anmeldungen verzeichnet wurden. Diese verteilen sich auf 11.501 wichtige Einrichtungen und 6.215 besonders wichtige Einrichtungen. Innerhalb der Gruppe der besonders wichtigen Einrichtungen wurden 1.342 als Betreiber kritischer Infrastrukturen (Kritis) identifiziert, ergänzt durch 13 Einheiten aus der Energiewirtschaft. Zudem wurden 216 Niederlassungen aus anderen EU-Staaten registriert. Die ursprüngliche Berechnung stützte sich auf Datenmaterial des Statistischen Bundesamtes aus den Jahren 2019 bis 2022. Die erste Anmeldefrist war bereits für Anfang März 2026 vorgesehen, wurde jedoch aufgrund der administrativen Herausforderungen bis zum 31. Juli 2026 verlängert. Die Bundesregierung unterstreicht, dass diese Zahlen lediglich eine Schätzung darstellten und die nun vorliegenden Anmeldedaten die Grundlage für die weitere Beobachtung bilden.

Hintergrund – Der Weg zur NIS2-Umsetzung

Die Genese der NIS2-Umsetzung in Deutschland ist eng mit den politischen Umbrüchen der vergangenen Jahre verknüpft. Bereits im Juli 2024 wurde ein erster Gesetzentwurf vorgelegt, der davon ausging, dass neben den bereits registrierten 6.000 Betreibern kritischer Infrastrukturen und Unternehmen im besonderen öffentlichen Interesse rund 23.850 weitere Einrichtungen in den Anwendungsbereich der neuen Rechtsänderungen fallen würden. Dieser Entwurf konnte jedoch aufgrund des Bruchs der damaligen Ampelkoalition nicht mehr durch den Bundestag verabschiedet werden. In der Folge übernahm die neue Regierung, gebildet aus Union und SPD, die ursprünglichen Zahlenwerte unverändert in ihren eigenen Entwurf, der im Juni 2025 veröffentlicht wurde. Die Richtlinie zielt darauf ab, das Sicherheitsniveau in der gesamten Europäischen Union zu vereinheitlichen und die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen. Dass die Schätzungen aus einer Zeit vor der vollständigen Implementierung der Richtlinie stammen, erklärt laut Ministerium die methodische Unsicherheit. Die Annahme, dass eine so große Anzahl an Unternehmen unter die Regulierung fällt, basierte auf der Erwartung, dass die Definitionen von „wichtigen“ und „besonders wichtigen“ Einrichtungen eine breite Palette an Wirtschaftssektoren erfassen würde, die nun in der Praxis möglicherweise anders bewertet werden.

Die Beteiligten – Institutionen und Akteure

In den Prozess der NIS2-Umsetzung sind verschiedene staatliche Akteure eingebunden. Das Bundesinnenministerium fungiert dabei als federführende Behörde für die politische Ausgestaltung und die Interpretation der Gesetzesvorgaben. Es ist das Ministerium, das die aktuelle Einschätzung kommuniziert und die Diskrepanz zwischen Schätzung und Realität einordnet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nimmt die operative Rolle ein; es ist die zentrale Stelle, bei der sich die Unternehmen registrieren müssen und die für die Auswertung der Daten zuständig ist. Das Statistische Bundesamt lieferte mit seinen Daten aus den Jahren 2019 bis 2022 die methodische Basis für die ursprünglichen Prognosen. Auf politischer Ebene ist die Regierung aus Union und SPD für den aktuellen Gesetzentwurf verantwortlich, nachdem sie die Vorarbeiten der vorherigen Regierung übernommen hatte. Die betroffenen Unternehmen selbst – von kritischen Infrastrukturen wie Kraftwerken bis hin zu wichtigen Einrichtungen in verschiedenen Wirtschaftszweigen – sind die Adressaten der Meldepflicht. Sie stehen in der Pflicht, ihre Einstufung selbst zu prüfen und die notwendigen Schritte zur Registrierung beim BSI einzuleiten, sofern sie unter die gesetzlich definierten Kriterien der NIS2-Richtlinie fallen.

Einordnung – Was die Zahlen bedeuten

Einzuordnen ist die aktuelle Situation als ein Spannungsfeld zwischen statistischer Prognose und operativer Realität. Den Berichten zufolge ist die Differenz von 10.000 Unternehmen zwar signifikant, wird aber von offizieller Seite nicht als Indiz für ein Versagen der Registrierungspflicht gewertet. Die Regierung argumentiert, dass eine Schätzung, die auf Daten von vor mehreren Jahren basiert, zwangsläufig eine gewisse Unschärfe aufweist. Es ist davon auszugehen, dass die Einstufung als „wichtige“ oder „besonders wichtige“ Einrichtung für viele Unternehmen eine komplexe Aufgabe darstellt, bei der möglicherweise Unsicherheiten bestehen. Einzuordnen ist das so, dass die Regierung den Fokus derzeit nicht auf eine etwaige Untererfassung legt, sondern darauf, die laufenden Meldeprozesse zu stabilisieren. Die Tatsache, dass das Ministerium die Entwicklung „weiter beobachten“ will, deutet darauf hin, dass man sich der Diskrepanz bewusst ist, jedoch keinen unmittelbaren Handlungsbedarf zur Korrektur der Gesetzesgrundlage sieht. Die statistische Abweichung wird somit eher als Korrekturbedarf der ursprünglichen Annahmen denn als massives Vollzugsdefizit interpretiert, wobei die Behörden weiterhin auf die Einhaltung der gesetzlichen Meldepflichten pochen.

Offene Fragen – Was bleibt ungeklärt

Der vorliegende Quelltext lässt einige Fragen offen, die für das Verständnis des Umsetzungsstandes von NIS2 in Deutschland von zentraler Bedeutung wären. Unbeantwortet bleibt beispielsweise die Frage, warum genau die Differenz von 10.000 Unternehmen entstanden ist. Es wird nicht explizit geklärt, ob diese Unternehmen die Kriterien für eine Registrierung schlicht nicht erfüllen, ob sie ihrer Pflicht bisher nicht nachgekommen sind oder ob die ursprüngliche Definition der betroffenen Sektoren zu weit gefasst war. Ebenso fehlen Informationen darüber, welche konkreten Maßnahmen das Bundesinnenministerium plant, um die „bedarfsgerechte Reaktion“ umzusetzen. Es wird nicht erläutert, ob dies eine verstärkte Kommunikation an die Unternehmen, eine Überprüfung der Registrierungsdaten oder eine Anpassung der Kriterien für die Meldepflicht bedeuten könnte. Zudem bleibt unklar, welche Sanktionen oder Konsequenzen auf Unternehmen zukommen, die sich bisher nicht registriert haben, obwohl sie dazu verpflichtet wären. Auch die Frage, ob die Qualität der gemeldeten Daten bereits geprüft wurde oder ob es noch zu Nachbesserungen bei den Registrierungen kommen wird, bleibt im Dunkeln. Die Lücke zwischen der statistischen Prognose und der tatsächlichen Anmeldung bleibt somit ein zentraler Punkt, der in der weiteren öffentlichen Debatte noch für Klärungsbedarf sorgen dürfte.

Wie es weitergeht – Ausstehende Schritte

Die Bundesregierung hat angekündigt, den Prozess der Registrierung weiterhin engmaschig zu verfolgen. Da die Frist zum 31. Juli 2026 verstrichen ist, liegt der Fokus nun auf der kontinuierlichen Beobachtung der Anmeldezahlen. Das Bundesinnenministerium hat explizit erklärt, dass man bei Bedarf reagieren werde, was Spielraum für weitere administrative Schritte lässt. Es ist zu erwarten, dass das BSI in den kommenden Monaten weitere Auswertungen veröffentlichen wird, um ein genaueres Bild über die Struktur der registrierten Unternehmen zu erhalten. Die Regierung hält an ihrer Linie fest, dass die bisherigen Zahlen keine Lücke im System belegen, was darauf hindeutet, dass vorerst keine großflächigen Gesetzesänderungen geplant sind. Die Unternehmen, die bisher noch nicht registriert sind, müssen weiterhin prüfen, ob sie unter die NIS2-Regelungen fallen, da die gesetzliche Verpflichtung unabhängig von den statistischen Schätzungen des Bundes besteht. Weitere Termine für eine erneute Fristverlängerung oder eine offizielle Überarbeitung der Schätzwerte wurden im Quelltext nicht genannt, was darauf schließen lässt, dass der aktuelle Status quo als Basis für die weitere Arbeit dient.