BSI-Registrierung

Die BSI-Registrierung ist die einzige NIS2-Pflicht mit einer eigenen Frist gewesen: drei Monate nach Inkrafttreten des NIS2UmsuCG, also bis März 2026. Wer sie versäumt hat, sollte sie unverzüglich nachholen — ein verspäteter Eintrag ist deutlich besser als keiner.

Welche Angaben verlangt werden

Für die Registrierung im BSI-Portal brauchen Sie:

• Unternehmensdaten: Name, Rechtsform, Anschrift, Registernummer
• den einschlägigen Sektor nach Anlage 1 oder Anlage 2
• die Einstufung als besonders wichtige oder wichtige Einrichtung
• eine ständig erreichbare Kontaktstelle für Sicherheitsvorfälle
• die IP-Bereiche und Domains der betriebenen Dienste
• bei Unternehmen mit mehreren EU-Niederlassungen die Angaben zur Hauptniederlassung

Die Kontaktstelle ist der kritische Punkt

An diese Adresse richtet das BSI seine Rückfragen im Ernstfall, und über diesen Zugang läuft später die Meldung von Vorfällen. Eine persönliche Postfachadresse, die im Urlaub niemand liest, ist hier ein echtes Risiko. Etabliert hat sich ein Funktionspostfach mit hinterlegter Rufbereitschaft — und ein dokumentierter Prozess, wer Zugriff hat, wenn die Meldung an einem Samstagabend rausgehen muss.

Warum Registrierung und Meldepflicht zusammengehören

Ohne abgeschlossene Registrierung fehlt Ihnen im Vorfall der Zugang, um die Frühwarnung binnen 24 Stunden abzusetzen. Die Registrierung im Ernstfall nachzuholen, kostet genau die Zeit, die die Frist nicht hergibt. Mehr zu den Fristen unter NIS2-Meldepflicht.

Was NIS2coPilot dabei tut

Ein Assistent führt durch die benötigten Angaben, speichert Zwischenstände und zeigt, welche Informationen noch fehlen. Sektor und Einstufung übernimmt er aus der Betroffenheitsprüfung, sodass die Angaben konsistent bleiben.

Was er nicht leistet

Die Registrierung selbst erfolgt im Portal des BSI; die Plattform bereitet sie vor und hält die Angaben nachvollziehbar, nimmt sie Ihnen aber nicht ab. Halten Sie die registrierten Daten aktuell — Änderungen an Kontaktstelle, Domains oder Einstufung müssen nachgeführt werden.

Vorbereitung: was vorher geklärt sein muss

Die Registrierung selbst dauert nicht lange — das Zusammentragen der Angaben schon. Klären Sie vorab:

Wer registriert sich? Bei Konzern- und Holdingstrukturen ist das die entscheidende Vorfrage. Registrierungspflichtig ist die Einrichtung, die die Kriterien erfüllt, nicht automatisch die Muttergesellschaft. Bei mehreren betroffenen Gesellschaften einer Gruppe kann es mehrere Registrierungen geben.

Welcher Sektor? Erfüllen Sie mehrere Sektoren gleichzeitig — bei Stadtwerken der Normalfall —, müssen alle angegeben werden.

Welche Einstufung? Besonders wichtig oder wichtig. Sie folgt aus Anlage und Größe und sollte aus Ihrer dokumentierten Betroffenheitsprüfung stammen.

Welche Dienste betreiben Sie? IP-Bereiche und Domains müssen benannt werden. Bei Unternehmen mit gewachsener Infrastruktur ist diese Inventur oft der zeitaufwendigste Teil.

Die Kontaktstelle richtig aufsetzen

Diese Angabe entscheidet über Ihre Meldefähigkeit. Drei Anforderungen sollte sie erfüllen:

• Funktionsadresse statt Person. Eine personengebundene Adresse fällt bei Urlaub, Krankheit oder Austritt aus.
• Tatsächliche Erreichbarkeit außerhalb der Geschäftszeiten. Die 24-Stunden-Frist läuft kalendarisch. Eine Adresse, die freitags um 17 Uhr zuletzt gelesen wird, erfüllt den Zweck nicht.
• Dokumentierter Zugriff. Es muss festgelegt und bekannt sein, wer im Ernstfall meldet und wer die Zugangsdaten hat.

Nach der Registrierung: Daten aktuell halten

Änderungen an Kontaktstelle, Einstufung, Sektorzugehörigkeit oder betriebenen Diensten müssen nachgeführt werden. Ein sinnvoller Auslöser ist die jährliche Überprüfung der Betroffenheit — dabei fällt auf, wenn die registrierten Angaben nicht mehr stimmen.

Häufige Fragen

Die Frist ist abgelaufen. Was jetzt?

Nachholen, so schnell wie möglich, und den Zeitpunkt dokumentieren. Eine verspätete Registrierung ist deutlich besser als keine — bei der Bemessung möglicher Bußgelder werden Art, Schwere und Dauer des Verstoßes sowie ergriffene Abhilfemaßnahmen berücksichtigt.

Müssen wir uns registrieren, wenn wir unsicher sind, ob wir betroffen sind?

Klären Sie zuerst die Einstufung und dokumentieren Sie sie. Eine Registrierung ohne Betroffenheit ist nicht vorgesehen; eine unterlassene Registrierung trotz Betroffenheit ist bußgeldbewehrt. Bei echten Grenzfällen sollten Sie die Einstufung rechtlich absichern.

Ist die Registrierung öffentlich einsehbar?

Nein. Die registrierten Angaben dienen der Aufsicht und der Erreichbarkeit im Vorfall, nicht der Veröffentlichung.