Rätselraten um fehlende NIS2-Registrierungen

Ein schleppender Start für die Cybersicherheit

Die Umsetzung der NIS2-Richtlinie in Deutschland steht vor einer unerwarteten Hürde. Nachdem die Nachfrist für die Registrierung kritischer Einrichtungen am 31. Juli endgültig abgelaufen ist, zeigt sich ein deutliches Missverhältnis zwischen den gesetzlichen Erwartungen und der Realität. Von den ursprünglich prognostizierten 29.500 Unternehmen und Behörden, die unter das NIS2-Umsetzungsgesetz fallen sollten, haben sich lediglich 18.845 Stellen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet.

Diese Zahl gliedert sich in 6.490 „besonders wichtige Einrichtungen“ sowie 12.355 „wichtige Einrichtungen“. Obwohl das BSI den aktuellen Stand als „grundsätzlich zufriedenstellend“ einstuft, bleibt die Diskrepanz zur ursprünglichen Schätzung des Statistischen Bundesamtes (Destatis) signifikant. Die Bundesregierung hatte bei der Verabschiedung des Gesetzes im Dezember 2025 mit einer deutlich höheren Beteiligung gerechnet.

Ursachenforschung bei den Behörden

Die Frage, warum rund 10.000 erwartete Registrierungen ausbleiben, beschäftigt derzeit sowohl das BSI als auch das Bundesinnenministerium (BMI). Es gibt Anzeichen dafür, dass die Identifizierung der Betroffenheit in der Praxis komplexer ist als zunächst angenommen. Insbesondere bei verschachtelten Firmenstrukturen fällt es vielen Organisationen schwer, rechtssicher einzuschätzen, ob sie tatsächlich unter die NIS2-Pflichten fallen.

Das Innenministerium hat nun das Statistische Bundesamt beauftragt, die Datenbasis erneut zu prüfen. Ziel ist es herauszufinden, ob die ursprünglichen Schätzungen zu hoch angesetzt waren oder ob eine große Anzahl an Unternehmen ihrer gesetzlichen Pflicht bisher nicht nachgekommen ist. Die Grünen-Abgeordnete Jeanne Dillschneider kritisierte den Prozess scharf und bezeichnete die abgelaufene reguläre Frist als einen „Weckruf“, der von vielen Akteuren offenbar ignoriert wurde. Sie mahnte an, dass das Bewusstsein für die aktuelle Bedrohungslage im Bereich der Cybersicherheit noch nicht flächendeckend verankert sei.

Rechtliche Konsequenzen und der Blick nach vorn

Das BSI betont, dass die Registrierung eine bußgeldbewehrte Pflicht darstellt. Bisher hat die Behörde jedoch bewusst auf die Einleitung von Ordnungsmaßnahmen verzichtet. Stattdessen wird die Situation nach eigenen Angaben „engmaschig beobachtet“. Dennoch bleibt die Erwartung klar: Betroffene Einrichtungen müssen ihre Prüfung der Betroffenheit sowie die zweistufige Registrierung zeitnah und vollständig nachholen. Die gesetzlichen Fristen gelten dabei unabhängig vom individuellen Aufwand, den eine Organisation für die Umsetzung betreiben muss.

Mehr als nur eine Registrierung

Es ist wichtig zu verstehen, dass die Registrierung lediglich den Auftakt für ein umfassendes Pflichtenpaket darstellt. Die NIS2-Richtlinie zielt darauf ab, das Sicherheitsniveau in kritischen Sektoren signifikant zu erhöhen. Zu den weiteren Anforderungen gehören:

* **Meldepflichten:** Frühzeitige Benachrichtigung des BSI bei IT- oder OT-Sicherheitsvorfällen.

* **Sicherheitsmaßnahmen:** Implementierung technischer und organisatorischer Standards.

* **Schulungspflichten:** Regelmäßige Weiterbildung des Personals im Bereich Cybersicherheit.

* **Kooperationspflichten:** Aktive Zusammenarbeit mit den zuständigen Behörden.

Ein besonders sensibler Aspekt der NIS2-Umsetzung ist die Befugnis der Bundesministerien, den Einsatz „kritischer Komponenten“ gemäß §41 BSIG zu untersagen. Unternehmen, die sich registrieren, unterwerfen sich damit einem regulatorischen Rahmen, der weit über eine reine Meldung hinausgeht und tief in die operative IT-Beschaffungsstrategie eingreifen kann. Die kommenden Wochen werden zeigen, ob die erneute Überprüfung durch das Statistische Bundesamt Klarheit schafft oder ob das BSI dazu übergehen muss, die Einhaltung der Registrierungspflicht durch formale Maßnahmen durchzusetzen.