Die kurze Antwort
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) duldet verspätete Registrierungen nach dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz nur noch bis zum 31. Juli 2026. Die eigentliche gesetzliche Frist lief bereits am 6. März 2026 ab. Von schätzungsweise 29.500 betroffenen Unternehmen in Deutschland hatten sich bis dahin nur rund 11.500 gemeldet, bis Ende Mai etwa 18.500 — ein erheblicher Teil fehlt weiterhin. Nach dem 31. Juli ist mit strengerer Durchsetzung zu rechnen.
Wichtig: Die Nachfrist ist juristisch keine Verlängerung, sondern eine Duldung. Die Registrierungspflicht und die Märzfrist bestehen unverändert fort; das BSI sieht lediglich vorübergehend von Maßnahmen gegen Nachzügler ab. Wer betroffen und noch nicht gemeldet ist, sollte die verbleibenden Tage nutzen — Bußgelder von bis zu 500.000 Euro und die persönliche Haftung der Geschäftsleitung machen das Thema zur Chefsache.
Was das BSI angekündigt hat
Mit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025 wurde die europäische NIS-2-Richtlinie in deutsches Recht überführt. Kern der neuen Regeln ist eine Registrierungspflicht: Betroffene Einrichtungen müssen sich beim BSI melden und Kontaktdaten für Sicherheitsvorfälle hinterlegen. Die gesetzliche Frist dafür endete am 6. März 2026.
Das Problem: Zu diesem Stichtag hatte sich nur ein Bruchteil der erwarteten Unternehmen registriert — rund 11.500 von geschätzt 29.500. Bis Ende Mai stieg die Zahl auf etwa 18.500, doch ein großer Teil blieb unerfasst. Das BSI reagierte mit einer Ankündigung, verspätete Registrierungen bis zum 31. Juli 2026 zu tolerieren und in diesem Zeitraum von unmittelbaren Sanktionen abzusehen. Für Teams, die noch nicht gemeldet sind, ist jetzt der richtige Moment, ihre Cybersicherheits-Kontrollen und die technische Absicherung ihrer Systeme zu ordnen — etwa mit einem strukturierten Sicherheitsaudit, das die von NIS-2 geforderten Risikomanagementmaßnahmen belegbar macht.
Wer betroffen ist
NIS-2 greift, wenn zwei Bedingungen zusammentreffen: Zugehörigkeit zu einem der 18 regulierten Sektoren — von Energie, Verkehr, Wasser und Gesundheit über digitale Infrastruktur und Finanzwesen bis zu Post, Abfall, Chemie und Lebensmittelproduktion — und das Erreichen bestimmter Größenschwellen. Die Grundschwelle liegt bei mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.
Das Gesetz unterscheidet zwei Klassen. Besonders wichtige Einrichtungen sind große Unternehmen in hochkritischen Sektoren — ab etwa 250 Beschäftigten oder 50 Millionen Euro Umsatz sowie mindestens 43 Millionen Euro Bilanzsumme; KRITIS-Betreiber fallen automatisch hierunter. Wichtige Einrichtungen sind die übrigen betroffenen Firmen, die die Grundschwelle erreichen. Für FinTech- und HealthTech-Anbieter sowie für Betreiber in Logistik und Energie ist die Einordnung besonders relevant, weil diese Sektoren durchweg als hochkritisch gelten.
Entscheidend und in der Praxis oft übersehen: Die Betroffenheit muss selbst festgestellt werden. Es gibt keine behördliche Einzelbenachrichtigung, die einem mitteilt, dass man unter NIS-2 fällt. Wer die Kriterien anhand von Sektor und Größe erfüllt, ist verpflichtet — unabhängig davon, ob er davon weiß. Das BSI stellt dafür unverbindliche Selbsteinschätzungshilfen bereit; die rechtliche Verantwortung für die richtige Einordnung liegt aber beim Unternehmen.
Warum die Nachfrist keine Verlängerung ist
Es lohnt sich, den rechtlichen Charakter der Ankündigung nüchtern zu betrachten. Der 31. Juli 2026 ist keine neue gesetzliche Frist. Die im NIS2UmsuCG festgelegte Registrierungsfrist ist am 6. März 2026 abgelaufen und wurde nicht verschoben. Was das BSI erklärt hat, ist eine Duldung: die Zusage, verspätete Meldungen bis Ende Juli hinzunehmen und in diesem Zeitraum auf aufsichtsrechtliche Schritte gegen Nachzügler zu verzichten.
Der Unterschied ist mehr als juristische Feinheit. Ein Unternehmen, das erst jetzt meldet, erfüllt seine Pflicht verspätet — die Duldung nimmt der Verspätung nur vorübergehend die unmittelbare Sanktionsfolge, sie heilt sie nicht rückwirkend. Und sie ist zeitlich begrenzt: Nach dem 31. Juli entfällt die angekündigte Zurückhaltung. Wer die Nachfrist als komfortable Verlängerung liest und weiter abwartet, missversteht das Signal. Richtig gelesen ist es eine letzte Warnung, verbunden mit der klaren Aussicht auf strengere Durchsetzung danach.
Was das für DACH-Teams bedeutet
Für Software-Teams in Deutschland, Österreich und der Schweiz ist die Registrierung der sichtbare Teil einer größeren Aufgabe. NIS-2 verlangt mehr als einen Eintrag im Meldeportal: ein dokumentiertes Risikomanagement, Prozesse zur Meldung erheblicher Sicherheitsvorfälle innerhalb enger Fristen und eine nachweisbare Absicherung der Lieferkette — einschließlich der eingesetzten Cloud-Dienste und Drittanbieter-Komponenten.
Praktisch bedeutet das: Die technische Absicherung und die Compliance-Dokumentation gehören zusammengedacht. Ein sauber betriebener Cloud- und DevOps-Betrieb mit Zugriffskontrollen, Protokollierung und geübtem Incident-Response liefert genau die Nachweise, die NIS-2 verlangt — statt sie später mühsam zu rekonstruieren. Ebenso überschneiden sich NIS-2 und die DSGVO in großen Teilen: Wer sein Datenschutzprogramm bereits im Griff hat, kann Verzeichnisse, Rechtsgrundlagen und Kontrollen wiederverwenden, anstatt einen zweiten, parallelen Nachweisstrang aufzubauen.
Was Sie jetzt tun sollten
In den verbleibenden Tagen bis Ende Juli lässt sich das Wichtigste ordnen. Eine praktische Reihenfolge:
- Prüfen Sie Ihre Betroffenheit. Gleichen Sie Sektor und Größe mit den Schwellen ab und halten Sie das Ergebnis mit Begründung fest — auch ein dokumentiertes „nicht betroffen" ist ein Nachweis. Nutzen Sie dafür die Selbsteinschätzungshilfen des BSI.
- Registrieren Sie sich, falls betroffen. Warten Sie nicht auf eine weitere Kulanz. Die Meldung über das BSI-Portal ist der Schritt, den die Aufsicht als Erstes prüft.
- Bewerten Sie Ihr Risikomanagement. NIS-2 verlangt konkrete Maßnahmen — Zugriffs- und Kryptokonzepte, Backup und Wiederanlauf, Schwachstellenmanagement. Ein Sicherheitsaudit zeigt Lücken, bevor es ein Vorfall tut.
- Richten Sie Meldewege für Vorfälle ein. Erhebliche Sicherheitsvorfälle sind fristgebunden zu melden. Legen Sie Zuständigkeiten, Eskalation und Vorlagen fest, solange kein Ernstfall drückt.
- Verzahnen Sie NIS-2 mit dem Datenschutz. Führen Sie DSGVO- und NIS-2-Nachweise als einen Arbeitsstrom, damit Register, Datenlandkarten und Kontrollen doppelt genutzt werden.
Nichts davon ist Rechtsberatung, und die genauen Pflichten hängen von Ihrer Einordnung, Ihren Systemen und Ihrer Branche ab. Das Signal ist aber eindeutig: Die Kulanzphase läuft aus. Im Vorteil sind die Teams, die die verbleibende Zeit nutzen, um Meldung und Kontrollen gemeinsam aufzusetzen — statt zu warten, bis nach dem 31. Juli die Durchsetzung anzieht.
Häufig gestellte Fragen
Bis wann müssen sich Unternehmen nach NIS-2 registrieren?
Die gesetzliche Frist endete am 6. März 2026. Weil deutlich weniger Unternehmen als erwartet gemeldet waren, duldet das BSI verspätete Registrierungen bis zum 31. Juli 2026 und sieht in diesem Zeitraum von unmittelbaren Maßnahmen ab. Das ist eine Duldung, keine Verlängerung der gesetzlichen Frist.
Wer ist von der NIS-2-Registrierungspflicht betroffen?
Einrichtungen aus 18 regulierten Sektoren, die die Größenschwellen erreichen — in der Regel mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Das Gesetz unterscheidet besonders wichtige Einrichtungen (ab etwa 250 Beschäftigten oder 50 Millionen Euro Umsatz sowie KRITIS-Betreiber) und wichtige Einrichtungen. Die Betroffenheit ist selbst zu prüfen.
Welche Strafen drohen bei fehlender NIS-2-Registrierung?
Verstöße gegen die Pflichten des BSIG können mit Bußgeldern von bis zu 500.000 Euro geahndet werden. Zudem muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und überwachen und haftet für Versäumnisse persönlich. Nach dem 31. Juli 2026 ist mit strengerer Durchsetzung zu rechnen.
Was bedeutet die Duldung bis 31. Juli rechtlich?
Die Duldung ändert nichts an der Rechtslage: Registrierungspflicht und Märzfrist bestehen fort. Das BSI verzichtet nur vorübergehend darauf, gegen verspätet gemeldete Unternehmen vorzugehen. Wer die Frist versäumt hat, sollte die Registrierung so schnell wie möglich nachholen, statt auf weitere Kulanz zu setzen.
Gilt NIS-2 auch für österreichische und Schweizer Unternehmen?
Das deutsche Gesetz und die BSI-Registrierung gelten für Einrichtungen in Deutschland. Österreich und die übrigen EU-Staaten setzen dieselbe NIS-2-Richtlinie in eigenes Recht um, mit eigenen Meldewegen. Die Schweiz ist nicht an NIS-2 gebunden, hat aber eine eigene Meldepflicht für Cyberangriffe auf kritische Infrastrukturen; Schweizer Gruppen mit EU-Töchtern können über diese erfasst sein.
Quellen
IHK Braunschweig — NIS-2 betroffen und noch nicht registriert? Neue Frist 31. Juli 2026
Kleeberg — NIS-2-Registrierung: BSI gewährt Nachfrist bis 31. Juli 2026, 15. Juli 2026
SCHUTZWERK — NIS-2-Registrierung bis 31. Juli 2026: Was Unternehmen jetzt beachten sollten