NIS2 nach der Nachfrist: Vom Registrieren zum Melden

Die gesetzliche Registrierungsfrist nach dem NIS2-Umsetzungsgesetz lief am 6. März 2026 ab, die vom BSI eingeräumte Nachsicht endete am 31. Juli. Das BSI weist heute unmissverständlich darauf hin, dass die Frist abgelaufen ist, und fordert betroffene Unternehmen auf, sich umgehend zu registrieren. Wer das noch nicht getan hat, bewegt sich nicht mehr in einer Übergangsphase.

Für die registrierten Einrichtungen stellt sich eine andere Frage. Die Registrierung ist ein einmaliger Vorgang, die Meldepflicht nach § 32 BSIG ist ein Dauerzustand. Ob ein Unternehmen sie erfüllen kann, zeigt sich erst im Vorfall.

Was die Zahlen sagen

Das BSI veröffentlicht den Stand regelmäßig. Zum Stichtag 30. Juni 2026 waren 17.945 Einrichtungen registriert, darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Bis zum selben Stichtag zählt das BSI 692 Erstmeldungen nach NIS2 und insgesamt 1.659 NIS-2-Meldungen über das Portal. Die nächste Aktualisierung ist für den 31. Oktober 2026 angekündigt.

Aus diesen Zahlen lässt sich kein Urteil über einzelne Unternehmen ableiten, wohl aber eine Beobachtung: Das Verhältnis von registrierten Einrichtungen zu Erstmeldungen ist niedrig. Das kann bedeuten, dass wenige erhebliche Vorfälle auftreten. Es kann auch bedeuten, dass Vorfälle intern nicht als meldepflichtig erkannt werden. Welche der beiden Deutungen für das eigene Haus zutrifft, sollte jede Geschäftsleitung wissen, denn § 38 BSIG macht sie für die Umsetzung verantwortlich.

Wann ein Vorfall erheblich ist

Meldepflichtig ist nicht jeder Sicherheitsvorfall, sondern der erhebliche. § 2 Nr. 11 BSIG nennt zwei Maßstäbe: schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung selbst, oder erhebliche materielle oder immaterielle Schäden bei anderen. Beides gilt ausdrücklich auch dann, wenn der Schaden erst eintreten kann. Für Anbieter digitaler Infrastruktur und digitaler Dienste, etwa Cloud-, Rechenzentrums- und DNS-Dienste oder Managed Services, konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Schwellen genauer.

Der Maßstab ist also bewusst weit gefasst, und er zielt auf Auswirkungen, nicht auf Angriffstechnik. Ein mehrstündiger Ausfall eines kundenrelevanten Dienstes kann erheblich sein, auch wenn am Ende eine Fehlkonfiguration und kein Angreifer dahintersteht.

Die Uhr beginnt mit der Kenntnis

§ 32 BSIG staffelt die Meldung: eine frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird oder grenzüberschreitende Auswirkungen möglich sind; eine Meldung binnen 72 Stunden mit erster Bewertung von Schweregrad und Auswirkungen, gegebenenfalls mit Kompromittierungsindikatoren; auf Ersuchen des BSI eine Zwischenmeldung; und spätestens einen Monat nach der Meldung eine Abschlussmeldung.

Die kritische Stelle ist der Beginn. Die Frist läuft ab Kenntniserlangung, nicht ab dem Moment, in dem jemand den Vorfall als meldepflichtig einstuft. Wenn ein Alarm am Freitagabend eingeht und die Bewertung erst am Montag stattfindet, ist die 24-Stunden-Frist verstrichen, bevor über die Meldung überhaupt gesprochen wurde.

Meldefähig werden

Meldefähigkeit entsteht vor dem Vorfall. Vier Bausteine tragen sie:

Schwellen vorab festlegen: Welche Ausfälle, Datenabflüsse oder Beeinträchtigungen gelten für die eigenen Dienste als erheblich? Eine dokumentierte Einstufung vermeidet die Grundsatzdebatte im Ernstfall.
Zuständigkeit benennen: Wer entscheidet über die Meldung, wer vertritt, und wie wird diese Person außerhalb der Geschäftszeiten erreicht?
Zugang sicherstellen: Die Meldung erfolgt über das BSI-Portal. Der Zugang und die Berechtigungen müssen vorhanden sein, bevor sie gebraucht werden.
Eine Chronik führen: Erkennung, Bewertung und Maßnahmen mit Zeitstempeln, damit Erst-, Folge- und Abschlussmeldung auf denselben Fakten beruhen.

Eine Übung mit einem realistischen Szenario zeigt schnell, wo die Kette reißt. Meist ist es nicht die Technik, sondern die Übergabe zwischen dem Team, das den Vorfall bemerkt, und der Stelle, die über die Meldung entscheidet.

Perstat, unser Produkt für Monitoring und Security Posture, setzt am Anfang dieser Kette an: Ausfälle und sicherheitsrelevante Veränderungen werden erkannt, eskaliert und mit Zeitstempel festgehalten. Die Einstufung als erheblich und die Meldung selbst bleiben Aufgabe des Unternehmens.

Registriert zu sein beschreibt einen Status. Meldefähig zu sein beschreibt eine Fähigkeit, und nur sie wird im Ernstfall geprüft.