NIS 2 ist am 6. Dezember 2025 in Kraft getreten. Unternehmen, die als sogenannte wichtige und besonders wichtige Einrichtungen in den Geltungsbereich des Gesetzes fallen, haben 3 Monate, um sich beim BSI zu registrieren. Somit ist der 6. März der Stichtag für alle aktuell betroffenen Unternehmen. TÜV SÜD informiert, was das konkret bedeutet.
In zahlreichen Sektoren wie Energie, Gesundheit, Transport, digitale Infrastruktur oder öffentliche Verwaltung fallen Unternehmen ab 50 Mitarbeitenden oder mit mehr als 10 Millionen Euro Umsatz unter NIS 2. „Allein in Deutschland sind rund 29.000 Organisationen von den neuen NIS-2-Pflichten betroffen“, meint Richard Skalt, Advocacy Manager Cybersecurity Office bei TÜV SÜD. „Viele Unternehmen unterschätzen die Bedeutung formaler Pflichten wie Registrierung, laufende Aktualisierung von Unternehmensdaten und fristgerechte Meldungen von Sicherheitsvorfällen.“
Registrierungspflicht beim BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt seit Anfang des Jahres das neue BSI‑Portal bereit. Es soll zur zentralen Plattform für die Erfüllung der NIS‑2‑Pflichten werden. Über das Portal erfolgt die Erstregistrierung, die alle NIS‑2‑Unternehmen spätestens drei Monate nach Eintritt ihrer gesetzlichen Pflicht durchführen müssen. Da das Gesetz am 6. Dezember 2025 in Kraft getreten ist, müssen nun viele Unternehmen bis zum 6. März aktiv werden.
Bei der fristgerechten Registrierung sollte unbedingt berücksichtigt werden, dass Unternehmen zunächst ein ELSTER‑Organisationszertifikat erzeugen müssen. Bis die Aktivierungs‑ID dafür per Post eintrifft, können fünf bis zehn Werktage vergehen. Für die Registrierung im BSI‑Portal selbst sind Unternehmensangaben wie Größe und Rechtsform sowie Informationen zur NIS‑2‑Kontaktstelle erforderlich. Zudem müssen der jeweilige Sektor und die zuständige Bundesbehörde über ein Dropdown‑Menü ausgewählt werden. Unternehmen sind verpflichtet, diese Angaben aktuell zu halten und spätestens zwei Wochen nach jeder Änderung im Portal zu aktualisieren. Auch die Meldung erheblicher Sicherheitsvorfälle erfolgt verpflichtend über das BSI‑Portal als zentrale Anlaufstelle.
„Organisationen benötigen praxisnahe, umsetzbare Maßnahmenpläne für NIS 2“, ergänzt Skalt. „Mit unseren TÜV SÜD-Services, wie der Hilfe bei der Einordnung der Betroffenheit, Trainings für Managementverantwortliche oder Assessments für bereits ergriffene Maßnahmen, können Unternehmen ihre NIS-2-Maßnahmen optimieren.“
Weitere Informationen zu den NIS2-Dienstleistungen von TÜV SÜD finden Sie unter tuvsud.com/en/topics/cybersecurity/nis2-services.
In zahlreichen Sektoren wie Energie, Gesundheit, Transport, digitale Infrastruktur oder öffentliche Verwaltung fallen Unternehmen ab 50 Mitarbeitenden oder mit mehr als 10 Millionen Euro Umsatz unter NIS 2. „Allein in Deutschland sind rund 29.000 Organisationen von den neuen NIS-2-Pflichten betroffen“, meint Richard Skalt, Advocacy Manager Cybersecurity Office bei TÜV SÜD. „Viele Unternehmen unterschätzen die Bedeutung formaler Pflichten wie Registrierung, laufende Aktualisierung von Unternehmensdaten und fristgerechte Meldungen von Sicherheitsvorfällen.“
Registrierungspflicht beim BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt seit Anfang des Jahres das neue BSI‑Portal bereit. Es soll zur zentralen Plattform für die Erfüllung der NIS‑2‑Pflichten werden. Über das Portal erfolgt die Erstregistrierung, die alle NIS‑2‑Unternehmen spätestens drei Monate nach Eintritt ihrer gesetzlichen Pflicht durchführen müssen. Da das Gesetz am 6. Dezember 2025 in Kraft getreten ist, müssen nun viele Unternehmen bis zum 6. März aktiv werden.
Bei der fristgerechten Registrierung sollte unbedingt berücksichtigt werden, dass Unternehmen zunächst ein ELSTER‑Organisationszertifikat erzeugen müssen. Bis die Aktivierungs‑ID dafür per Post eintrifft, können fünf bis zehn Werktage vergehen. Für die Registrierung im BSI‑Portal selbst sind Unternehmensangaben wie Größe und Rechtsform sowie Informationen zur NIS‑2‑Kontaktstelle erforderlich. Zudem müssen der jeweilige Sektor und die zuständige Bundesbehörde über ein Dropdown‑Menü ausgewählt werden. Unternehmen sind verpflichtet, diese Angaben aktuell zu halten und spätestens zwei Wochen nach jeder Änderung im Portal zu aktualisieren. Auch die Meldung erheblicher Sicherheitsvorfälle erfolgt verpflichtend über das BSI‑Portal als zentrale Anlaufstelle.
„Organisationen benötigen praxisnahe, umsetzbare Maßnahmenpläne für NIS 2“, ergänzt Skalt. „Mit unseren TÜV SÜD-Services, wie der Hilfe bei der Einordnung der Betroffenheit, Trainings für Managementverantwortliche oder Assessments für bereits ergriffene Maßnahmen, können Unternehmen ihre NIS-2-Maßnahmen optimieren.“
Weitere Informationen zu den NIS2-Dienstleistungen von TÜV SÜD finden Sie unter tuvsud.com/en/topics/cybersecurity/nis2-services.
