NIS-2-Registrierung: 10.000 Unternehmen fehlen der Behörde
Veröffentlicht am: 06.08.2026 um 07:40 Uhr | Redaktion boerse-global.de
Die Umsetzung der NIS-2-Richtlinie in Deutschland weist Monate nach dem Verstreichen der ersten Fristen erhebliche Lücken auf. Wie aus aktuellen Daten des Bundesamtes für Sicherheit in der Informationstechnik (BSI) hervorgeht, haben sich bis zum 31. Juli 2026 insgesamt 19.058 Einrichtungen bei der Behörde registriert. Damit bleibt die Zahl der erfassten Unternehmen deutlich hinter den ursprünglichen Erwartungen zurück. Experten schätzen, dass etwa 29.500 bis 29.850 Betriebe unter die verschärften Cybersicherheitspflichten fallen, womit über ein Drittel der betroffenen Organisationen den Registrierungsprozess noch nicht abgeschlossen hat.
Differenz zwischen Erwartung und Realität
Von den zum Stichtag Ende Juli registrierten Einheiten entfallen 12.354 auf sogenannte wichtige Einrichtungen und 6.487 auf besonders wichtige Einrichtungen. Zusätzlich wurden 217 Nebenniederlassungen in der Datenbank des BSI erfasst. Obwohl die Teilnehmerzahl seit dem Frühjahr gestiegen ist – zur ursprünglichen Registrierungsfrist am 6. März 2026 waren erst 11.500 Einrichtungen gemeldet –, klafft weiterhin eine Differenz von rund 10.000 Unternehmen zur behördlichen Schätzung.
Das BSI bewertet den aktuellen Registrierungsstand trotz der Differenz als grundsätzlich zufriedenstellend. Dennoch besteht Handlungsbedarf bei der Validierung der Zahlen. Das Bundesministerium des Innern (BMI) hat daher das Statistische Bundesamt (Destatis) damit beauftragt, die Schätzung von 29.500 betroffenen Einrichtungen zu überprüfen. Das BSI arbeitet bei dieser Analyse eng mit Destatis zusammen, um die tatsächliche Anzahl der verpflichteten Unternehmen präziser bestimmen zu können.
Herausforderungen bei der Identifizierung betroffener Betriebe
Das seit dem 6. Dezember 2025 geltende Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) definiert klare Kriterien für die Betroffenheit. Als besonders wichtige Einrichtungen gelten in der Regel Unternehmen ab 250 Mitarbeitern oder einem Jahresumsatz von mindestens 50 Millionen Euro. Wichtige Einrichtungen beginnen bei einer Schwelle von 50 Mitarbeitern oder einem Umsatz von 10 Millionen Euro.
Wer sich mit den neuen gesetzlichen Anforderungen an die IT-Sicherheit befasst, sollte auch die kommenden rechtlichen Pflichten durch KI-Regulierungen im Blick behalten. Dieser kostenlose Report klärt auf, welche Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Report zu neuen Cyberrisiken anfordern
Der Verband kommunaler Unternehmen (VKU) sieht die Hauptursache für die bestehende Registrierungslücke in der komplexen Betroffenheitsprüfung. Insbesondere Stadtwerke stünden vor großen Herausforderungen bei der Klärung, welche ihrer Geschäftsbereiche unter die spezifischen Anforderungen fallen. Diese Unsicherheit verzögere den formalen Anmeldeprozess beim BSI erheblich.
Sanktionsrisiken und behördliches Vorgehen
Die Registrierungspflicht nach § 33 des BSI-Gesetzes (BSIG) ist rechtlich bindend und im Falle von Verstößen bußgeldbewehrt. Bei einer verspäteten Meldung drohen den Unternehmen Bußgelder von bis zu 500.000 Euro. Schwerwiegendere Verstöße gegen die Sicherheitsauflagen können mit Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden.
Angesichts drohender Sanktionen und steigender Risiken wird ein proaktiver Schutz der Unternehmens-IT für Geschäftsführer immer wichtiger. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Gratis-E-Book: IT-Sicherheit ohne teure Investitionen stärken
Bisher hat das BSI jedoch auf die Einleitung von Ordnungsmaßnahmen verzichtet. Die Behörde setzt in der aktuellen Phase primär auf die Kooperation mit den Unternehmen und die Verifizierung der Betroffenenzahlen. Angesichts der hohen potenziellen Strafsummen mahnen Experten jedoch zur Sorgfalt, da die rechtliche Grundlage für Sanktionen bereits seit dem Inkrafttreten des Gesetzes besteht und die Schonfrist für die Registrierung formal bereits im März endete.
