Warum eine Registrierung beim BSI notwendig ist
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verpflichtet betroffene Unternehmen, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Die Registrierung ist keine Formalität. Sie ist eine gesetzliche Pflicht und Voraussetzung dafür, dass das BSI im Ernstfall die richtigen Ansprechpartner erreicht.
Ohne Registrierung drohen Bußgelder. Das BSI kann zudem Vor-Ort-Prüfungen anordnen und Nachregistrierungen erzwingen. Wer sich frühzeitig registriert, vermeidet unnötige Risiken und zeigt gegenüber Geschäftspartnern und Aufsichtsbehörden, dass die Anforderungen ernst genommen werden.
Wer sich registrieren muss
Die Registrierungspflicht betrifft zwei Kategorien von Einrichtungen:
- Wesentliche Einrichtungen (Annex I): Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Dienstleister, öffentliche Verwaltung und Weltraum.
- Wichtige Einrichtungen (Annex II): Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung, digitale Dienste und Forschung.
Die Schwellenwerte sind klar: ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz in einem der erfassten Sektoren. Einige Betreiber kritischer Infrastrukturen (KRITIS) sind unabhängig von der Größe betroffen.
Auch Unternehmen, die sich nicht sicher sind, ob sie unter NIS2 fallen, sollten die Betroffenheitsprüfung durchführen. Eine verspätete Registrierung gilt als Ordnungswidrigkeit.
Voraussetzungen für die Registrierung
Bevor Sie die Registrierung starten, sollten folgende Informationen vorliegen:
- Unternehmensname und Rechtsform wie im Handelsregister eingetragen
- Sektorenzuordnung: In welchem Sektor und Teilsektor ist Ihr Unternehmen tätig?
- Kontaktdaten der Meldestelle: Name, E-Mail-Adresse und Telefonnummer einer Person, die rund um die Uhr erreichbar ist
- IP-Adressbereiche und Domänen, die dem Unternehmen zugeordnet sind
- EU-Mitgliedstaaten, in denen das Unternehmen Dienste erbringt
- Vertretungsberechtigte Person: Geschäftsführung oder bevollmächtigte Ansprechperson
Die Kontaktdaten der Meldestelle sind besonders wichtig. Bei einem Sicherheitsvorfall muss das BSI die zuständige Person innerhalb von Minuten erreichen können. Eine Sammeladresse wie info@ reicht dafür nicht aus.
Der Registrierungsprozess im Detail
1. Betroffenheit prüfen
Prüfen Sie anhand der Sektorenliste und der Schwellenwerte, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung eingestuft wird. Das BSI stellt dafür ein Online-Tool bereit. Bei Unsicherheiten hilft eine Rechtsberatung oder ein Blick in die Erwägungsgründe der EU-Richtlinie 2022/2555.
2. Zugang zum BSI-Portal einrichten
Die Registrierung erfolgt über das BSI-Meldeportal. Dafür benötigen Sie ein Benutzerkonto. Die Authentifizierung erfolgt in der Regel über eine qualifizierte elektronische Signatur oder ein vergleichbares Verfahren. Halten Sie die Handelsregisternummer bereit.
3. Stammdaten eintragen
Im Portal geben Sie die Unternehmensangaben ein: Name, Rechtsform, Anschrift, Sektor, Teilsektor, Mitarbeiterzahl und Umsatzkategorie. Zusätzlich hinterlegen Sie die Kontaktdaten der Meldestelle und der vertretungsberechtigten Person.
4. Technische Angaben hinterlegen
Das BSI erwartet technische Informationen zu Ihren Netz- und Informationssystemen. Dazu gehören IP-Adressbereiche, Domänen und die EU-Mitgliedstaaten, in denen Sie Dienste erbringen. Diese Angaben erleichtern die Zuordnung bei Sicherheitsvorfällen.
5. Registrierung abschließen
Nach der Eingabe prüft das BSI die Angaben. Sie erhalten eine Bestätigung mit Ihrer Registrierungsnummer. Diese Nummer ist bei künftigen Meldungen anzugeben. Bewahren Sie sie sicher auf.
Fristen und Übergangsregelungen
Die EU-Richtlinie sah Oktober 2024 als Umsetzungsfrist für die Mitgliedstaaten vor. Deutschland hat das NIS2UmsuCG mit Verzögerung verabschiedet. Die konkreten Registrierungsfristen ergeben sich aus dem nationalen Gesetz.
Grundsätzlich gilt: Betroffene Unternehmen müssen sich innerhalb von drei Monaten nach Inkrafttreten der nationalen Regelung registrieren. Für bestehende KRITIS-Betreiber gelten Übergangsfristen, die ihre bisherige BSI-Registrierung überführen.
Warten Sie nicht auf den letzten Tag. Die Registrierung selbst dauert je nach Unternehmensgröße ein bis drei Stunden. Die Vorbereitung der Daten kann jedoch Tage in Anspruch nehmen, besonders wenn IP-Adressbereiche und Ansprechpartner erst ermittelt werden müssen.
Häufige Fehler bei der Registrierung
Aus der Praxis ergeben sich immer wieder dieselben Probleme:
- Falsche Sektorenzuordnung: Unternehmen ordnen sich dem falschen Sektor zu, weil sie ihre Haupttätigkeit nicht korrekt einschätzen. Prüfen Sie die Definitionen in Annex I und Annex II genau.
- Unvollständige Kontaktdaten: Die Meldestelle muss rund um die Uhr erreichbar sein. Ein normaler Büroarbeitsplatz erfüllt diese Anforderung nicht. Klären Sie vorab, wer außerhalb der Geschäftszeiten erreichbar ist.
- Fehlende technische Angaben: IP-Bereiche und Domänen werden oft von der IT-Abteilung verwaltet und sind der Geschäftsführung nicht bekannt. Beziehen Sie die IT frühzeitig ein.
- Veraltete Handelsregisterdaten: Wenn sich die Rechtsform oder der Firmenname kürzlich geändert hat, stimmen die Angaben im Portal nicht mit dem Handelsregister überein. Das führt zu Rückfragen und Verzögerungen.
- Keine Stellvertreterregelung: Wenn die benannte Kontaktperson ausfällt, muss eine Vertretung erreichbar sein. Hinterlegen Sie von Anfang an eine zweite Ansprechperson.
Nach der Registrierung: Was folgt
Die Registrierung ist der erste Schritt. Danach beginnen die eigentlichen Pflichten:
- Meldepflichten: Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Erstmeldung und innerhalb von 72 Stunden als vollständige Meldung an das BSI übermittelt werden.
- Maßnahmenumsetzung: Artikel 21 der NIS2-Richtlinie definiert zehn Mindestanforderungen, darunter Risikoanalyse, Incident Response, Lieferkettensicherheit und Schulungen.
- Nachweispflichten: Das BSI kann jederzeit Nachweise über die umgesetzten Maßnahmen anfordern. Eine lückenlose Dokumentation ist daher unverzichtbar.
- Aktualisierungspflicht: Änderungen bei Kontaktdaten, Sektorzuordnung oder technischen Angaben müssen dem BSI unverzüglich mitgeteilt werden.
Wer die Registrierung und die nachfolgenden Pflichten in einer Plattform bündeln möchte, kann mit Titan die relevanten Maßnahmen als prüfbare Aufgaben abbilden, Zuständigkeiten zuweisen und den Umsetzungsstand dokumentieren. So behalten Sie den Überblick und können bei einer Prüfung durch das BSI alle Nachweise strukturiert vorlegen.