NIS2
NIS2: Nachfrist 31.07.2026 — Registrierung jetzt oder Bußgeldrisiko
Die NIS2-Registrierungsfrist (§ 33 BSIG) lief am 6.3.2026 ab — das BSI verlängerte bis 31.7.2026. Was betroffene Unternehmen jetzt tun sollten.
Die NIS2-Registrierungsfrist (§ 33 BSIG) lief am 6.3.2026 ab — das BSI verlängerte bis 31.7.2026. Was betroffene Unternehmen jetzt tun sollten.
Stand: 23. Juli 2026 – die vom BSI eingeräumte Nachfrist läuft in wenigen Tagen ab.
Der 31. Juli 2026 ist kein hartes „Alles-oder-nichts"-Datum, an dem automatisch eine Strafe ausgelöst wird. Er markiert das Ende der vom BSI eingeräumten Nachfrist zur ursprünglichen gesetzlichen Frist vom 6. März 2026. Danach gilt wieder die reguläre Rechtslage: Die Registrierungspflicht besteht unverändert fort, und ein anhaltender Verstoß bleibt ordnungswidrigkeitenbewehrt. Wer die Frist verpasst, sollte die Registrierung unverzüglich nachholen – Panik ist nicht angebracht, Untätigkeit aber auch nicht.
NIS2 erfasst Unternehmen anhand von Schwellenwerten, berechnet nach der EU-Empfehlung 2003/361:
Es erfolgt keine automatische Sanktion am Stichtag selbst, aber die Registrierungspflicht besteht unverändert fort und bleibt bußgeldbewehrt (bis zu 500.000 € nach § 65 Abs. 2 Nr. 6 BSIG). Wer die Frist verpasst hat, sollte unverzüglich nachregistrieren.
Ursprünglich lief die gesetzliche Registrierungsfrist nach § 33 BSIG bis 6. März 2026. Weil nach BSI-Schätzung bis Ende Mai erst rund 18.500 von geschätzt 29.500 betroffenen Unternehmen registriert waren, hat das BSI eine Nachfrist bis 31. Juli 2026 eingeräumt.
Eine ausführliche Betroffenheits-Logik mit allen Sektoren finden Sie im Leitfaden NIS2 in Deutschland: Wer betroffen ist und welche Pflichten gelten.
| Verstoß | Bußgeldrahmen |
|---|---|
| Registrierungsverstoß (§ 33 i. V. m. § 65 Abs. 2 Nr. 6 BSIG) | bis zu 500.000 € |
| Pflichtverstoß „besonders wichtige Einrichtung" | bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
| Pflichtverstoß „wichtige Einrichtung" | bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
Zusätzlich verpflichtet § 38 BSIG die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich regelmäßig schulen zu lassen. Eine Haftung der Geschäftsleitung ergibt sich dabei nach den allgemeinen gesellschaftsrechtlichen Grundsätzen – NIS2 schafft insoweit keinen gesonderten, „automatischen" Haftungstatbestand, verschärft aber die Sorgfaltsanforderungen an die Organisation.
CERTISCAN deckt heute Zeiterfassung, E-Rechnung, HinSchG-Meldekanal und Lohn-Compliance ab. Ein NIS2-spezifisches Modul ist zum Stand dieses Artikels (Juli 2026) nicht Teil des Funktionsumfangs – dieser Artikel ordnet die Pflicht ein, ersetzt aber keine IT-Sicherheits- oder Rechtsberatung.
Die verlängerte Registrierungsfrist ist kein Freifahrtschein, sondern eine letzte, ablaufende Gelegenheit, einen formalen Rückstand ohne größeren Aufwand zu beheben. Wer jetzt registriert und parallel die materiellen § 30-BSIG-Pflichten angeht, ist rechtlich wie organisatorisch deutlich besser aufgestellt als wer weiter abwartet.
Nur, wenn die Schwellenwerte erreicht werden (in der Regel ab 50 Mitarbeitenden) und eine Zuordnung zu einem Sektor der Anlage 1 oder 2 vorliegt bzw. das Unternehmen die kombinierten Umsatz-/Bilanz-Schwellen überschreitet. Viele klassische KMU-Reinigungs- oder Handwerksbetriebe fallen nicht direkt unter NIS2, können aber als Zulieferer betroffener Auftraggeber vertraglich in die Pflicht genommen werden.
Die Registrierung erfolgt über das vom BSI bereitgestellte Verfahren nach § 33 BSIG. Eine erste Selbsteinschätzung der Betroffenheit ermöglicht der NIS2-Betroffenheits-Check.