Die gesetzliche Frist ist seit einem halben Jahr Geschichte, doch beim Bundesamt für Sicherheit in der Informationstechnik (BSI) klafft weiterhin eine auffällige Lücke: Zahlreiche Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, scheinen sich noch nicht registriert zu haben. Was genau bekannt ist, wie belastbar diese Zahlen wirklich sind und was betroffene Unternehmen jetzt tun sollten, ordnen wir im Folgenden ein.
Die gesetzliche Frist: 6. März 2026
NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit, die Mitgliedstaaten dazu verpflichtet, Cybersicherheitsanforderungen für kritische und wichtige Einrichtungen gesetzlich zu verankern. In Deutschland erfolgt das über das BSIG, das NIS2-Umsetzungsgesetz. Seit dem 6. Dezember 2025 ist es in Kraft, und alle zu diesem Zeitpunkt bereits betroffenen Bestandseinrichtungen mussten sich gemäß § 33 Abs. 1 BSIG bis zum 6. März 2026 im Registrierungsportal des BSI anmelden.
Diese Registrierung ist kein bürokratischer Selbstzweck. Sie ist die Grundlage dafür, dass das BSI überhaupt weiß, welche Unternehmen zu den 'wichtigen' und welche zu den 'besonders wichtigen' Einrichtungen zählen, also den beiden Kategorien, in die NIS2 betroffene Organisationen einteilt. Von dieser Einordnung hängen wiederum konkrete Pflichten ab, etwa bei Meldefristen für Sicherheitsvorfälle oder bei den Mindestanforderungen an das Risikomanagement.
Was die aktuellen Zahlen zeigen
Laut einem Bericht von Infopoint Security vom 28. September 2026, der sich auf die zum Stichtag 30. Juni 2026 veröffentlichten BSI-Zahlen stützt, hatten sich bis dahin 17.729 Unternehmen im Portal registriert. Davon entfielen 11.501 auf wichtige Einrichtungen und 6.215 auf besonders wichtige Einrichtungen.
Das BSI war ursprünglich von rund 29.500 betroffenen Einrichtungen ausgegangen. Stellt man diese Schätzung den tatsächlichen Registrierungen gegenüber, fehlt rechnerisch etwa ein Drittel, umgerechnet gut 11.000 Unternehmen. Diese Diskrepanz ist die zentrale Zahl, um die sich die aktuelle Debatte dreht. Wichtig ist an dieser Stelle die Einschränkung: Diese konkreten Zahlen und ihre Einordnung stammen aus einer einzelnen journalistischen Quelle, weshalb wir sie hier bewusst mit Quellenangabe und ohne zusätzliche Dramatisierung wiedergeben.
Die Einordnung der Bundesregierung: Schätzung statt Zählung
Interessant ist, wie die Bundesregierung selbst mit dieser Zahl umgeht. In einer parlamentarischen Antwort im August 2026 erklärte sie laut demselben Bericht, dass die ursprüngliche Schätzung von 29.500 betroffenen Einrichtungen lediglich eine Hochrechnung des Statistischen Bundesamts sei, keine belastbare Zählung tatsächlich betroffener Unternehmen. Deshalb sehe man aktuell keine Registrierungslücke im engeren Sinne.
Das ist ein wichtiger Unterschied. Die Zahl 29.500 wurde offenbar nie durch eine vollständige Erhebung ermittelt, sondern durch statistische Hochrechnung auf Basis von Sektor- und Größenkriterien gewonnen. Wie viele Unternehmen tatsächlich unter NIS2 fallen, weiß im Grunde niemand exakt, bevor nicht jedes einzelne eine Betroffenheitsprüfung durchgeführt hat. Das ändert allerdings nichts an der Tatsache, dass die absolute Zahl der Registrierungen, 17.729, feststeht und öffentlich dokumentiert ist. Die Frage ist also weniger, ob genau ein Drittel fehlt, sondern ob die Grundgesamtheit überhaupt korrekt geschätzt wurde.
Die informelle Nachfrist und was sie bedeutet
Nach Ablauf der gesetzlichen Frist am 6. März 2026 hat das BSI laut Infopoint Security eine informelle Nachfrist bis zum 31. Juli 2026 toleriert. Das bedeutet nicht, dass die gesetzliche Frist offiziell verlängert wurde. Es bedeutet lediglich, dass das BSI in der Praxis offenbar keine unmittelbaren Sanktionen gegen Unternehmen verhängt hat, die sich in diesem Zeitraum verspätet registrierten.
Diese Kulanz sollte niemand als Dauerzustand missverstehen. Eine verspätete oder unterlassene Registrierung bleibt eine Ordnungswidrigkeit nach § 65 BSIG. Das Bußgeld dafür kann bis zu 500.000 Euro betragen. Zusätzlich hat das BSI die Möglichkeit, Einrichtungen, die sich nicht selbst registrieren, von Amts wegen zu registrieren. Für betroffene Unternehmen heißt das im Klartext: Eine fehlende Registrierung verschwindet nicht einfach, weil die öffentliche Aufmerksamkeit nachlässt.
Wer überhaupt betroffen ist
Gerade weil die Gesamtzahl der betroffenen Unternehmen unsicher ist, lohnt sich ein Blick auf den Anwendungsbereich des BSIG. Die Team Data GmbH hat sich in einem Beitrag vom 23. September 2026 mit den Schwellenwerten und Sektoren beschäftigt, die über die NIS2-Betroffenheit entscheiden. Grob gesagt zählen Größe des Unternehmens, gemessen an Mitarbeiterzahl und Umsatz beziehungsweise Bilanzsumme, und die Zugehörigkeit zu bestimmten Sektoren wie Energie, Gesundheit, digitale Infrastruktur oder verarbeitendes Gewerbe zu den entscheidenden Kriterien.
Weniger offensichtlich ist, dass auch kleinere IT-Dienstleister betroffen sein können, selbst wenn sie auf den ersten Blick nicht in eine klassische NIS2-Sektorkategorie fallen. Ein Beitrag von RDDZ vom 26. September 2026 weist darauf hin, dass die Registrierungspflicht in bestimmten Konstellationen auch kleinere Dienstleister erfasst, etwa wenn sie kritische Dienstleistungen für größere, ohnehin betroffene Kunden erbringen. Wer glaubt, als kleiner IT-Dienstleister automatisch außen vor zu sein, sollte diese Annahme lieber einmal genauer prüfen als sich später überraschen zu lassen.
Ebenfalls relevant für die öffentliche Hand und ihre Zulieferer: Der cosinex-Blog beschäftigt sich in einem Beitrag vom 22. September 2026 mit der Frage, wen das BSIG im Kontext der öffentlichen Beschaffung verpflichtet. Auch hier zeigt sich, dass der Anwendungsbereich in der Praxis komplexer ist, als eine einfache Sektorliste vermuten lässt, und dass Unternehmen, die öffentliche Aufträge ausführen, die NIS2-Anforderungen mitdenken sollten, wenn sie in relevanten Lieferketten stehen.
Was DACH-Unternehmen jetzt konkret tun sollten
Unabhängig davon, ob am Ende ein Drittel oder ein deutlich kleinerer Anteil der tatsächlich betroffenen Unternehmen fehlt, bleibt die praktische Handlungsempfehlung für jedes einzelne Unternehmen gleich. Zuerst steht die Betroffenheitsprüfung an: Fällt das eigene Unternehmen aufgrund von Größe, Sektor oder Lieferkettenrolle unter das BSIG? Diese Prüfung sollte dokumentiert werden, auch um im Zweifel gegenüber dem BSI belegen zu können, warum man zu einem bestimmten Ergebnis gekommen ist.
Wer feststellt, dass eine Registrierungspflicht besteht und diese noch nicht erfüllt wurde, sollte die Anmeldung im BSI-Portal zügig nachholen. Die informelle Kulanzphase ist nach den vorliegenden Informationen bereits Ende Juli 2026 ausgelaufen, und mit der nächsten Fortschreibung der Registrierungsstatistik am 31. Oktober 2026 dürfte die öffentliche Aufmerksamkeit für das Thema erneut steigen.
Parallel zur reinen Registrierung lohnt sich ein Blick auf die inhaltlichen Anforderungen, die mit dem Status als wichtige oder besonders wichtige Einrichtung einhergehen, etwa Risikomanagementmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und Nachweispflichten gegenüber Behörden. Unternehmen, die bereits mit Standards wie ISO 27001 (internationale Norm für Informationssicherheits-Managementsysteme), TISAX (Prüfstandard für Informationssicherheit in der Automobilindustrie) oder SOC 2 (US-amerikanischer Prüfstandard für Dienstleister, der unter anderem Sicherheit und Vertraulichkeit von Daten bewertet) arbeiten, verfügen oft bereits über Strukturen, die sich für die NIS2-Umsetzung nutzen lassen. Eine pauschale inhaltliche Deckungsgleichheit dieser Standards mit den BSIG-Anforderungen lässt sich daraus jedoch nicht ableiten, das müsste im Einzelfall geprüft werden.
Fazit
Die Debatte um die angebliche NIS2-Registrierungslücke zeigt vor allem eines: Wie unklar die tatsächliche Ausgangsbasis noch ist. Die Bundesregierung selbst räumt ein, dass die ursprüngliche Schätzung von 29.500 betroffenen Unternehmen auf wackeligen statistischen Beinen steht. Trotzdem sind die 17.729 tatsächlich registrierten Unternehmen eine belastbare Zahl, und die gesetzlichen Fristen sowie die Bußgeldandrohung von bis zu 500.000 Euro gelten unabhängig von der Diskussion um die korrekte Gesamtzahl. Für Unternehmen im deutschsprachigen Mittelstand bleibt die Botschaft daher pragmatisch: Betroffenheit prüfen, Registrierung nachholen, wenn nötig, und die Entwicklung bis zur nächsten Statistik am 31. Oktober 2026 im Blick behalten.
