NIS-2-Registrierung beim BSI

Rechtsgrundlage der NIS2-Registrierung

§ 33 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, sich spätestens drei Monate nachdem sie erstmals oder erneut als solche gelten, beim BSI zu registrieren. Die Registrierung erfolgt über eine gemeinsam von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Möglichkeit, in der Praxis das BSI-Portal. Die Einzelheiten hat das BSI nach § 33 Abs. 6 BSIG im Dokument «Einzelheiten zur Ausgestaltung des Registrierungsverfahrens» festgelegt.

Registriert sich eine Einrichtung nicht, kann das BSI sie nach § 33 Abs. 3 BSIG selbst registrieren. Das ändert nichts daran, dass die unterlassene Registrierung bußgeldbewehrt sein kann.

Pflichtangaben nach § 33 BSIG

Das Gesetz nennt unter anderem:

• Name der Einrichtung mit Rechtsform und gegebenenfalls Handelsregisternummer
• Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern
• Sektor und gegebenenfalls Branche nach Anlage 1 oder 2
• die EU-Mitgliedstaaten, in denen die Einrichtung entsprechende Dienste erbringt
• die zuständigen Aufsichtsbehörden des Bundes und der Länder

Schritt 1: Mein Unternehmenskonto

Die Anmeldung im BSI-Portal setzt ein Konto bei «Mein Unternehmenskonto» (MUK) voraus. Es beruht auf der ELSTER-Technologie und einem ELSTER-Organisationszertifikat, das unter Angabe einer deutschen Steuernummer beantragt wird. Nach Angaben des BSI braucht jede Einrichtung ein eigenes MUK-Profil. Unternehmen ohne deutsche Steuernummer können laut BSI-FAQ ein Ordnungskriterium beim Finanzamt Neubrandenburg beantragen.

Praxistipp: Viele Unternehmen haben bereits ein ELSTER-Organisationszertifikat für die Steuerkommunikation, oft verwaltet von der Buchhaltung oder dem Steuerbüro. Klären Sie früh, wer Zertifikatsdatei und Passwort verwaltet, damit die Registrierung nicht an dieser Stelle hängen bleibt.

Schritt 2: Registrierung im BSI-Portal

Im BSI-Portal melden Sie sich über «Mit MUK anmelden» an, authentifizieren sich mit dem Zertifikat und bestätigen die Datenweitergabe. Im NIS-2-Bereich starten Sie die Registrierung. Abgefragt werden laut BSI-Anleitung:

• ob die Einrichtung eine Stelle des Bundes ist und ob sie als Betreiber kritischer Anlagen registriert ist
• die NIS-2-Einstufung (besonders wichtige oder wichtige Einrichtung)
• Sektor, Branche, Einrichtungsart, EU-Mitgliedstaaten und Aufsichtsbehörden; weitere Einrichtungsarten lassen sich ergänzen
• allgemeine Angaben, die aus dem ELSTER-Zertifikat übernommen werden und im Portal nicht änderbar sind
• eine NIS-2-Kontaktstelle mit Organisationseinheit, Adresse, einer oder zwei Telefonnummern im internationalen Format und einer E-Mail-Adresse, vorzugsweise einem Funktionspostfach
• eine oder mehrere Kontaktpersonen mit Rolle
• alle öffentlichen statischen IP-Adressbereiche in CIDR-Notation oder die Angabe, dass es keine gibt

Mit «Registrierung abschließen» ist der Vorgang erledigt.

Unterlagen vorab zusammenstellen

Die Registrierung geht schneller, wenn Sie vorher folgende Punkte klären:

• Zugriff auf das ELSTER-Organisationszertifikat und dessen Passwort
• dokumentierte Einstufung aus der Betroffenheitsprüfung mit Sektor, Branche und Einrichtungsart
• Liste der EU-Staaten, in denen Sie entsprechende Dienste erbringen
• zuständige Aufsichtsbehörden, etwa für Gesundheit oder Energie
• Funktionspostfach und Telefonnummern der Kontaktstelle
• Namen und Rollen der Kontaktpersonen, die vorab informiert wurden
• öffentliche statische IP-Adressbereiche in CIDR-Notation

Nach der Registrierung

Änderungen aktuell halten

Änderungen sind nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen, mitzuteilen. Im Portal geschieht das im Reiter «Ihre Registrierung». Legen Sie fest, wer diese Pflege übernimmt, etwa bei Umzug, Umfirmierung, neuem Internetanschluss oder Wechsel der Ansprechperson.

Erreichbarkeit sicherstellen

Das BSI erwartet, dass Einrichtungen Warnungen empfangen und bewerten können, auch außerhalb der Geschäftszeiten, und eine interne Eskalation eingerichtet haben. Ein Funktionspostfach, das mehrere Personen lesen, ist dafür besser geeignet als eine persönliche Adresse.

Meldungen über das Portal

Das BSI-Portal ist zugleich der Meldeweg für erhebliche Sicherheitsvorfälle. Richten Sie die Zugänge für die meldeberechtigten Personen vorab ein, damit im Ernstfall niemand erst ein Zertifikat suchen muss.

Typische Stolpersteine

• Konzerne: Jede Einrichtung braucht ein eigenes MUK-Profil; Tochtergesellschaften werden nicht automatisch mit erfasst.
• Mehrere Einrichtungsarten: Wer mehrere Tätigkeiten aus den Anlagen ausübt, sollte alle angeben.
• IP-Adressbereiche: Die Angabe setzt voraus, dass Sie Ihre öffentlichen Adressen kennen. Fragen Sie im Zweifel Ihren Internetanbieter oder IT-Dienstleister.
• Kontaktstelle ohne Vertretung: Eine einzelne Person ohne Vertretung ist im Urlaub oder Krankheitsfall nicht erreichbar.
• KRITIS-Betreiber: Sie registrieren sich zusätzlich als besonders wichtige Einrichtung im BSI-Portal, melden Vorfälle aber übergangsweise weiter über das Melde- und Informationsportal (MIP).

Stand der Registrierungen

Das BSI hatte erwartet, dass der Großteil der Registrierungen bis Sommer 2026 abgeschlossen ist. Ob Ihre Registrierung vollständig ist, sehen Sie im Portal im NIS-2-Bereich. Wer erst jetzt feststellt, dass er betroffen ist, sollte die Registrierung ohne weitere Verzögerung vornehmen und die Gründe für die späte Feststellung dokumentieren.