Die Schonzeit bei NIS2 geht zu Ende. Nach Medienberichten von Anfang Oktober 2026 will das Bundesamt für Sicherheit in der Informationstechnik (BSI) noch im vierten Quartal 2026 eine Initiative starten, um die Registrierungspflicht durchzusetzen. Ab dem ersten Quartal 2027 sollen zudem einzelne Einrichtungen verpflichtet werden, ihre IT-Sicherheit prüfen zu lassen und Nachweise vorzulegen. Betroffen sind zunächst Unternehmen, die erkennbar unter das Gesetz fallen, aber beim BSI noch nicht gemeldet sind.
Was das BSI angekündigt hat
Die Angaben stammen aus einem Bericht des Tagesspiegels, den Fachmedien aufgegriffen haben. Eine eigene Pressemitteilung des BSI dazu gab es bis zum Redaktionsschluss nicht. Nach diesen Berichten plant das BSI zwei Schritte:
| Zeitraum | Vorhaben |
|---|---|
| Viertes Quartal 2026 | Direkte Ansprache von Unternehmen, die sich hätten registrieren müssen |
| Ab erstem Quartal 2027 | Anordnung von Prüfungen bei einzelnen Einrichtungen, jeweils mit thematischem Schwerpunkt |
Beginnen will das BSI nach den Berichten bei besonders wichtigen Einrichtungen in den Sektoren, in denen es den größten Handlungsbedarf sieht. Am Anfang steht nach den Berichten kein Bußgeld, sondern eine Anhörung. Ein Bußgeldverfahren kann aber folgen.
Warum gerade jetzt
Die gesetzliche Frist zur Registrierung nach § 33 BSIG endete für die meisten Unternehmen am 6. März 2026. Das BSI hatte danach zu einer Nachmeldung bis Ende Juli 2026 aufgerufen. Nach Angaben, die in den Berichten zitiert werden, lagen Ende September 2026 rund 20.000 Registrierungen vor, Nebenniederlassungen eingeschlossen. Das BSI selbst rechnet mit knapp 30.000 betroffenen Einrichtungen. Damit fehlt weiterhin ein erheblicher Teil.
Einen Überblick über die Pflichten insgesamt gibt unser Beitrag NIS2 in Deutschland: Was nach dem Start jetzt zu tun ist.
Was das Gesetz dem BSI erlaubt
Die angekündigten Schritte stützen sich auf Befugnisse, die das BSI-Gesetz seit Dezember 2025 vorsieht. In eigenen Worten zusammengefasst:
- Prüfungen anordnen (§ 61 Absatz 1 BSIG). Gegenüber einzelnen besonders wichtigen Einrichtungen kann das BSI anordnen, dass unabhängige Stellen Audits, Prüfungen oder Zertifizierungen durchführen. Geprüft wird, ob die Maßnahmen nach § 30, die Meldepflichten nach § 32 und die Pflichten der Geschäftsleitung erfüllt sind. Eine Wartefrist gilt dafür nicht.
- Regelmäßige Nachweise (§ 61 Absatz 3 BSIG). Allgemein Nachweise einfordern kann das BSI erst drei Jahre nach Inkrafttreten des Gesetzes, also ab Dezember 2028. Für zugelassene Krankenhäuser gilt eine längere Frist. Das ist kein Widerspruch zu den Prüfungen ab 2027: Diese sind gezielte Anordnungen im Einzelfall.
- Wichtige Einrichtungen (§ 62 BSIG). Hier wird das BSI nur tätig, wenn Tatsachen darauf hindeuten, dass Pflichten nicht oder nicht richtig erfüllt werden. Ein solcher Anlass kann etwa ein gemeldeter Vorfall sein.
- Bußgelder (§ 65 BSIG). Fehlende, falsche oder verspätete Angaben bei der Registrierung sind eine Ordnungswidrigkeit, für die das Gesetz eine Geldbuße bis zu 500.000 Euro vorsieht. Für Verstöße gegen die Sicherheitsmaßnahmen und Meldepflichten liegen die Obergrenzen deutlich höher.
Maßgeblich ist der Gesetzestext auf gesetze-im-internet.de. Wie das BSI seine Befugnisse im Einzelnen nutzt, wird sich erst in der Praxis zeigen.
Wer zuerst in den Blick rückt
Nach den bisherigen Angaben konzentriert sich das BSI auf zwei Gruppen. Erstens Unternehmen, die erkennbar unter NIS2 fallen, aber keine Registrierung vorgenommen haben. Zweitens besonders wichtige Einrichtungen in Sektoren mit hohem Risiko. Wer dort tätig ist, sollte damit rechnen, dass Prüfungen nicht erst 2028 beginnen.
Wichtige Einrichtungen sind nicht aus dem Schneider. Ein schwerer Sicherheitsvorfall oder Hinweise Dritter können genügen, damit das BSI nachfragt. Dann zählt, ob Sie Ihre Maßnahmen belegen können.
Wie eine angeordnete Prüfung aussehen dürfte
Das Gesetz lässt dem BSI Spielraum. Es kann vorgeben, welche Anforderungen die prüfenden Stellen erfüllen müssen, und Prüfergebnisse, festgestellte Mängel sowie einen Plan zu deren Beseitigung verlangen. Nach den Berichten soll jede Prüfung einen thematischen Schwerpunkt haben. Welche Themen das sein werden, ist noch nicht bekannt. Naheliegend sind die Kernbereiche aus § 30: Risikoanalyse, Umgang mit Sicherheitsvorfällen, Lieferkette, Zugriffsschutz und Notfallplanung.
Ein bestehendes Zertifikat nach ISO/IEC 27001 ersetzt eine solche Prüfung nicht automatisch. Es hilft aber, weil viele Nachweise bereits vorliegen und geprüft wurden. Achten Sie darauf, dass der Geltungsbereich die für NIS2 relevanten Dienste und Standorte abdeckt.
Was das für Sie bedeutet
- Registrierung prüfen. Wenn Sie unter NIS2 fallen und noch nicht registriert sind, holen Sie das sofort über das BSI-Portal nach. Eine Nachmeldung vor einer Anhörung ist die bessere Ausgangslage. Prüfen Sie auch, ob Ihre gemeldeten Angaben noch stimmen.
- Einstufung festhalten. Dokumentieren Sie, warum Sie besonders wichtige, wichtige oder keine Einrichtung sind. Diese Begründung brauchen Sie, wenn das BSI nachfragt.
- Nachweise ordnen. Legen Sie für jeden Bereich aus § 30 fest, welche Richtlinie, welcher Prozess und welcher Beleg dazugehört. Wer das jetzt sortiert, kann auf eine Anordnung innerhalb der gesetzten Frist reagieren.
- Geschäftsleitung einbinden. Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig geschult werden. Halten Sie Beschlüsse und Schulungen schriftlich fest.
Auf der Seite zu NIS2 sehen Sie, wie Sightadel die Anforderungen des BSIG Kontrolle für Kontrolle abbildet und Nachweise je Maßnahme ablegt. Wenn Sie bereits nach ISO/IEC 27001 arbeiten, finden Sie auf der Seite zu ISO/IEC 27001 die Verbindung beider Rahmenwerke. Sie können Sightadel 14 Tage lang ohne Zahlungsdaten kostenlos testen.
Stand: 9. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
