Das BSI (Bundesamt für Sicherheit in der Informationstechnik) ist die zentrale staatliche Stelle für Cybersicherheit in Deutschland. Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist, übernimmt das BSI die Aufsicht über die NIS2-Pflichten — vergleichbar mit der Rolle der Datenschutzbehörden bei der DSGVO. Für betroffene Unternehmen ist das BSI damit die wichtigste Anlaufstelle: für die Pflichtregistrierung, für Vorfallsmeldungen und als Aufsichtsbehörde.
Die Rolle des BSI bei NIS2
- Registrierungsstelle: Betroffene Unternehmen müssen sich nach § 33 BSIG beim BSI registrieren
- Meldestelle: Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG an das BSI zu melden
- Aufsicht und Sanktionen: Bei Verstößen drohen NIS2-Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
Registrierungspflicht beim BSI
Die Registrierung musste innerhalb von 3 Monaten nach Inkrafttreten des NIS2UmsuCG erfolgen — die Frist endete im März 2026. Wer noch nicht registriert ist, sollte das unverzüglich nachholen. Dafür benötigen Sie:
- Unternehmensdaten (Name, Rechtsform, Anschrift)
- Angaben zu Sektor und NIS2-Einstufung
- Benennung einer Kontaktstelle, die 24/7 erreichbar ist
- IP-Adressbereiche und Domains der betroffenen Dienste
- Ein ELSTER-Zertifikat für die Authentifizierung
Details finden Sie unter BSI-Registrierung.
Meldepflichten an das BSI
Bei einem erheblichen Sicherheitsvorfall gilt ein dreistufiges Meldesystem:
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden | Erste Einschätzung der Schwere, Verdacht auf böswillige Handlung |
| Ausführliche Meldung | 72 Stunden | Bewertung, Indikatoren, Gegenmaßnahmen |
| Abschlussbericht | 1 Monat | Detaillierte Beschreibung und Ursachenanalyse |
Die 24-Stunden-Frist beginnt ab Kenntnis des Vorfalls — nicht erst nach vollständiger Analyse. Mehr dazu unter NIS2-Meldepflicht.
Was bedeutet das konkret?
Für Geschäftsführung und IT-Leitung heißt das: Klären Sie zuerst Ihre Betroffenheit, holen Sie die BSI-Registrierung nach, falls sie noch fehlt, und stellen Sie sicher, dass Ihre Kontaktstelle und Ihre Meldeprozesse im Ernstfall funktionieren. Der kostenlose Betroffenheitscheck liefert in 5 Minuten eine erste Einschätzung Ihrer Einstufung.