NIS2-Fristen und BSI-Registrierung:
Was bis wann zu tun ist
Bei NIS2 zählt nicht nur, was zu tun ist, sondern auch wann. Hier sind die relevanten Fristen: Registrierung beim BSI, die gestaffelten Meldefristen und warum die Umsetzung selbst keine Frist kennt.
Das BSI-Gesetz (BSIG) setzt NIS2 in Deutschland um und ist in Kraft. Für betroffene Unternehmen sind drei Zeitebenen wichtig: die Registrierung, die Meldung von Vorfällen und die dauerhafte Umsetzung der Maßnahmen.
1. Registrierung beim BSI
Betroffene Einrichtungen müssen sich beim BSI registrieren und dabei die nötigen Kontakt- und Erreichbarkeitsdaten hinterlegen. Diese Registrierungspflicht ist fristgebunden. Wer betroffen ist und sich noch nicht registriert hat, sollte das nicht aufschieben, denn eine versäumte Registrierung ist bußgeldbewehrt. Ob Sie betroffen sind, klären Sie vorab im NIS2-Betroffenheits-Check.
So registrieren Sie sich, Schritt für Schritt
Die Registrierung läuft vollständig digital über das Meldeportal des BSI. Sie brauchen dafür ein ELSTER-Organisationszertifikat, also dasselbe Organisationszertifikat, mit dem viele Unternehmen bereits ihre Steuererklärungen abgeben. So gehen Sie vor:
- ELSTER-Organisationszertifikat bereithalten. In aller Regel haben Sie es bereits, denn es ist dasselbe Organisationszertifikat, mit dem Ihr Unternehmen die Steuererklärung abgibt. Nur falls in Ihrem Haus tatsächlich noch keines existiert, erstellen Sie es kostenlos über „Mein ELSTER" (elster.de).
- Das BSI-Portal aufrufen: portal.bsi.bund.de.
- Mit dem ELSTER-Organisationszertifikat anmelden. Sie wählen die Zertifikatsdatei aus und geben Ihr Passwort ein, ganz ohne separates BSI-Benutzerkonto.
- Einrichtung registrieren. Hinterlegen Sie die abgefragten Angaben zu Ihrer Einrichtung, zum Sektor und die Kontakt- sowie Erreichbarkeitsdaten für Meldungen.
- Daten aktuell halten. Ändern sich Ansprechpartner oder Erreichbarkeiten, pflegen Sie das im Portal nach, damit das BSI Sie im Ernstfall erreicht.
Praktischer Tipp: Klären Sie früh, wer in Ihrem Haus das ELSTER-Organisationszertifikat verwaltet (oft die Buchhaltung oder Steuerabteilung). Dann ist die Anmeldung in wenigen Minuten erledigt.
2. Meldefristen bei Sicherheitsvorfällen (§ 32 BSIG)
Tritt ein erheblicher Sicherheitsvorfall ein, läuft eine klar gestaffelte Uhr:
- Binnen 24 Stunden: frühe Erstmeldung an das BSI (§ 32 Abs. 1 Satz 1 Nr. 1).
- Binnen 72 Stunden: eine ausführlichere Meldung mit erster Bewertung (Nr. 2).
- Auf Ersuchen: Zwischenmeldungen zum aktuellen Stand (Nr. 3).
- Binnen eines Monats: die Abschlussmeldung (Nr. 4).
Diese Fristen sind in der Praxis nur einzuhalten, wenn vorher ein dokumentierter, getesteter Notfall- und Meldeprozess existiert. Im Ernstfall ist keine Zeit, ihn erst zu erfinden.
3. Die Umsetzung kennt keine Frist
Anders als Registrierung und Meldung sind die Risikomanagementmaßnahmen nach § 30 keine einmalige Aufgabe mit Stichtag. Sie müssen dauerhaft vorhanden, gelebt und nachweisbar sein. Es gibt also kein „wir kümmern uns nächstes Jahr darum". Genau deshalb lohnt es sich, jetzt strukturiert zu starten, statt auf eine Prüfung oder eine Kundenanfrage zu warten.
Das Wichtigste in Kürze
- Registrierungspflicht beim BSI, fristgebunden und bußgeldbewehrt.
- Meldefristen nach § 32: 24 Stunden, 72 Stunden, Zwischenmeldung, ein Monat.
- Meldefristen sind nur mit vorbereitetem Notfallprozess haltbar.
- Die Umsetzung der Maßnahmen ist Dauerpflicht, nicht Stichtag.
Häufige Fragen
Muss ich mein Unternehmen beim BSI registrieren?
Ja, betroffene Einrichtungen unterliegen einer Registrierungspflicht beim BSI. Wer noch nicht registriert ist, sollte das umgehend nachholen.
Wie registriere ich mich beim BSI?
Über das BSI-Portal unter portal.bsi.bund.de. Die Anmeldung erfolgt mit dem ELSTER-Organisationszertifikat, also demselben Zertifikat, das viele Unternehmen für die Steuererklärung nutzen. Anschließend hinterlegen Sie die Angaben zu Einrichtung, Sektor und Erreichbarkeit.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Nach § 32 BSIG: Erstmeldung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden, eine Zwischenmeldung auf Ersuchen und eine Abschlussmeldung binnen eines Monats.
Gibt es eine Übergangsfrist für die Umsetzung?
Das BSIG gilt. Anders als die Registrierungs- und Meldepflichten müssen die Risikomanagementmaßnahmen dauerhaft vorhanden und wirksam sein. Ein „später" gibt es dafür nicht.
Wie Sie Notfall- und Meldeprozesse pragmatisch aufsetzen, lesen Sie unter NIS2-Compliance. Details zur 24-Stunden-Regel im Beitrag NIS2-Meldepflicht.
Dieser Beitrag dient der Orientierung und ist keine Rechtsberatung.