Die Frist von heute steht nicht im Gesetz

Heute endet die Nachfrist des BSI für die NIS2-Registrierung. In vielen Beiträgen der letzten Wochen klang das wie der Stichtag, an dem die Pflichten beginnen. Das ist er nicht, und der Unterschied ist mehr als Wortklauberei.

Zwei Daten, die man auseinanderhalten sollte

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. § 33 BSIG verlangt die Registrierung spätestens drei Monate nach erstmaligem Eintritt in den Anwendungsbereich. Für alle, die beim Inkrafttreten schon betroffen waren, lief diese Frist am 6. März 2026 ab. Der heutige Termin ist etwas anderes: eine Nachfrist des BSI für die ausstehenden Registrierungen. Das ist eine Aussage über die Vollzugspraxis, keine neue Rechtslage.

Praktisch heißt das: Wer sich heute einträgt, ist nicht pünktlich. Er ist rund fünf Monate spät. Das ist kein Grund, es zu lassen, aber ein Grund, die eigene Chronologie zu kennen, bevor die Aufsicht fragt.

Die Pflichten hingen nie an der Registrierung

Das ist der Teil, der in der Fristdebatte untergeht. Die Registrierung ist eine Meldung über die eigene Betroffenheit. Sie ist nicht der Schalter, der die Pflichten einschaltet. Das Risikomanagement nach § 30 BSIG und die Meldepflichten nach § 32 BSIG gelten seit dem Inkrafttreten, unabhängig davon, ob eine Organisation eingetragen war oder nicht.

Für die Meldepflichten ist das besonders unangenehm konkret. § 32 arbeitet dreistufig: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Wer im Frühjahr einen erheblichen Sicherheitsvorfall hatte und nicht registriert war, unterlag diesen Fristen trotzdem. Die fehlende Registrierung hat die Meldepflicht nicht ausgesetzt, sie hat nur dafür gesorgt, dass niemand daran erinnert hat.

Was die Nachfrist also schließt, und was nicht

Sie schließt eine Formalie. Sie schließt nicht die Lücke, die im Dezember aufgegangen ist. Die ehrliche Frage am Tag nach der Registrierung lautet deshalb nicht „sind wir eingetragen", sondern: Seit wann sind wir verpflichtet, was ist in der Zwischenzeit passiert, und könnten wir es belegen? Ein Meldeweg, der erst im Ernstfall zum ersten Mal benutzt wird, hält 24 Stunden selten ein.

Wie isidaten den Teil nach der Registrierung führt

In der Plattform laufen genau die Bereiche zusammen, die nach dem Eintrag übrig bleiben. Das Meldewesen führt Vorfälle mit den Stufen und Fristen aus § 32, sodass die 24 Stunden nicht am Suchen der Zuständigkeit vergehen. Das Risikoregister verbindet Risiken mit Maßnahmen und deren Wirksamkeitsbewertung, statt sie in einer Bewertungstabelle enden zu lassen. Lieferantenmanagement und Asset-Inventar liefern die Grundlage dafür, weil sich weder Lieferkettensicherheit noch Risikomanagement ohne belastbaren Bestand führen lassen.

Produktbezogene Einordnung, keine Rechtsberatung. Die maßgeblichen Angaben zu Registrierung und Fristen führt das BSI. Mehr zur Umsetzung auf der NIS2-Lösungsseite; warum Registrierung und Umsetzung zwei verschiedene Zustände sind, stand hier bereits.