Die erste Post vom BSI ist eine Anhörung

Am 30. September 2026 waren beim BSI 20.141 Einrichtungen nach NIS-2 registriert, mit Nebenniederlassungen 20.373. Erwartet werden knapp 30.000. Gut ein Drittel fehlt also, mehr als sieben Monate nach der gesetzlichen Frist.

Das soll sich jetzt ändern. Timo Hauschild, Abteilungsleiter im BSI, hat im Tagesspiegel Background vom 8. Oktober angekündigt: „Noch im vierten Quartal beginnen wir eine Durchsetzungsinitiative.“ Angesprochen werden zuerst Einrichtungen, die sich offensichtlich hätten registrieren müssen. Und: „Da wird es nicht sofort ein Bußgeld geben.“ Am Anfang steht eine Anhörung.

Was das Gesetz vorsieht

Die Registrierungspflicht steht in § 33 Absatz 1 BSIG. Besonders wichtige und wichtige Einrichtungen müssen sich registrieren, und zwar

„spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten“

Wer das nicht oder nicht rechtzeitig tut, handelt nach § 65 Absatz 2 Nummer 6 ordnungswidrig; Absatz 5 nennt dafür eine Geldbuße bis zu 500.000 Euro. Dass das BSI zuerst anhört, ändert daran nichts. Es heißt nur, dass man Gelegenheit bekommt, sich zu erklären. Wer dann nichts Belastbares vorlegen kann, hat die Gelegenheit verschenkt.

Was ab 2027 folgt

Laut der Ankündigung will das BSI ab dem ersten Quartal 2027 einzelne Einrichtungen anweisen, ihre IT-Sicherheit prüfen zu lassen und Nachweise vorzulegen, jeweils mit thematischem Schwerpunkt. Die Grundlage ist § 61 Absatz 1 BSIG: Das BSI kann gegenüber einzelnen besonders wichtigen Einrichtungen

„anordnen, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen zur Prüfung der Erfüllung der Verpflichtungen nach § 30 Absatz 1 Satz 1 [...] durchführen zu lassen“

Bei wichtigen Einrichtungen geht das nach § 62 nur anlassbezogen: wenn „Tatsachen die Annahme“ rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden. Und von allen anderen besonders wichtigen Einrichtungen darf das BSI Nachweise nach § 61 Absatz 3 erst „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“ verlangen, also nicht vor Dezember 2028.

Was vorbereitet sein sollte, bevor der Brief kommt

• Die Betroffenheit, begründet. Auch wer zu dem Schluss gekommen ist, nicht betroffen zu sein, sollte das mit Größe, Sektor und Tätigkeit belegen können. In der Anhörung ist „wir dachten, das gilt nicht für uns“ keine Antwort.
• Die Registrierung mit Datum und Stand. Was wurde wann übermittelt, und stimmt es noch? Ein Umzug, eine neue Niederlassung oder ein geänderter Ansprechpartner sind meldepflichtige Änderungen.
• Die Dokumentation der Maßnahmen. § 30 Absatz 1 verlangt: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“ Fehlt sie, ist auch das nach § 65 Absatz 2 Nummer 3 eine Ordnungswidrigkeit.
• Wer antwortet, und bis wann. Ein Schreiben des BSI kommt mit Frist. Es darf nicht in einem Sammelpostfach liegen bleiben.

Wie isidaten das abbildet

Die Aufsichtsakte führt je Einrichtung und Regime Aktenzeichen, Behörde und Ansprechpartner. Jede übermittelte Fassung der Registrierungsangaben bleibt als eigener Stand erhalten, als Beleg dafür, was an welchem Tag gemeldet wurde. Schreiben der Behörde werden zu Vorgängen mit Antwortfrist, die täglich geprüft wird. Im NIS2-Modul stehen dazu die Einstufung mit ihrer Begründung und, wenn eine Prüfung angeordnet wird, Prüfstelle, Nachweise und festgestellte Mängel.

Die Prüffrage

Wenn morgen ein Schreiben des BSI kommt: Wer öffnet es, und wo liegt die Begründung, warum Ihr Haus registriert ist oder nicht?

Wenn Sie dafür erst jemanden fragen müssen, ist jetzt die Zeit, das zu ändern, nicht in der Anhörungsfrist.

Quellen

BSI-Gesetz, § 30 Absatz 1, § 33 Absatz 1, § 61 Absatz 1 und 3, § 62, § 65 Absatz 2 und 5. BSI, NIS-2 in Zahlen (Stand 30.09.2026). Die Ankündigung des BSI nach Tagesspiegel Background vom 8. Oktober 2026, zitiert nach ChannelPartner; eine eigene Pressemitteilung des BSI dazu gibt es bisher nicht.