Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhöht den Druck auf Unternehmen, die ihre NIS2-Registrierung bislang noch nicht abgeschlossen haben.
Obwohl die gesetzliche Registrierungsfrist bereits im März 2026 abgelaufen ist, gewährt das BSI betroffenen Unternehmen nun eine letzte Nachfrist bis zum 31. Juli 2026. Danach ist davon auszugehen, dass die Aufsicht die gesetzlichen Anforderungen deutlich konsequenter durchsetzen wird.
Was viele Unternehmen unterschätzen:
NIS2 bedeutet weit mehr als eine reine Registrierung beim BSI.
Betroffene Unternehmen müssen unter anderem:
- ihre Betroffenheit prüfen,
- geeignete technische und organisatorische Sicherheitsmaßnahmen implementieren,
- ein dokumentiertes Risikomanagement etablieren,
- Meldeprozesse für Sicherheitsvorfälle aufbauen,
- sowie Verantwortlichkeiten auf Geschäftsleitungsebene festlegen.
Besonders relevant:
Die Verantwortung für die Umsetzung liegt ausdrücklich bei der Geschäftsleitung. Verstöße können nicht nur regulatorische Folgen haben, sondern auch haftungsrechtliche Risiken mit sich bringen.
Rund 29.500 Unternehmen in Deutschland fallen inzwischen unter die NIS2-Regulierung. Dennoch haben zahlreiche betroffene Organisationen ihre Registrierung oder die erforderlichen Vorbereitungen bislang nicht vollständig umgesetzt.
Unsere Erfahrung aus der Praxis zeigt:
Viele Unternehmen beschäftigen sich aktuell nicht mehr mit der Frage, ob sie betroffen sind, sondern vielmehr damit, wie sie die Anforderungen pragmatisch, risikoorientiert und prüfungssicher umsetzen können.
Die verbleibenden Wochen bis Ende Juli sollten daher genutzt werden, um bestehende Lücken zu identifizieren und die notwendigen Maßnahmen strukturiert umzusetzen.
Wer seine Betroffenheit noch nicht geprüft oder die Registrierung noch nicht abgeschlossen hat, sollte jetzt handeln.
Julian Piroué
Senior Consultant ESG-Compliance, Creditreform Compliance Services GmbH