Das Bundesamt für Sicherheit in der Informationstechnik (BSI) startet aktuell eine Initiative zur Durchsetzung der NIS2-Richtlinie, wie Tagesspiegel Background berichtet. Hierbei geht es vorrangig um die NIS2-Registrierungspflicht. Wir erläutern, womit betroffene Organisationen jetzt rechnen müssen.
Was ist die NIS2-Durchsetzungsinitiative des BSI?
Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 Abs. 1 BSIG (BSI-Gesetz) spätestens drei Monate nach Eintritt der NIS2-Betroffenheit registrieren. Das BSI muss Unternehmen hierzu nicht erst auffordern. Zum 30. September 2026 waren aber nur etwas über 20.000 Einrichtungen im BSI-Portal registriert. Zu erwarten wären knapp 30.000 Einrichtungen gewesen.
Nun will das BSI gezielt auf Unternehmen zugehen, bei denen es ein Versäumen der Registrierungspflicht vermutet. Ab Anfang 2027 will das BSI dann bei ausgewählten Einrichtungen verbindliche IT-Sicherheits-Audits anordnen.
Was bedeutet die NIS2-Registrierungspflicht und welche Konsequenzen drohen?
Für Unternehmen, die ihre NIS2-Betroffenheit bislang nicht geprüft haben, steigt damit der Handlungsdruck. Bei fehlender Registrierung kann das BSI unter anderem selbst registrieren sowie Unterlagen und Auskünfte verlangen.
Eine unterlassene, verspätete oder fehlerhafte Registrierung ist zudem bußgeldbewehrt. Anders als bei Verstößen gegen zentrale Risikomanagement- oder Meldepflichten gelten hier allerdings nicht die häufig genannten Höchstbeträge von 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes. Für Verstöße gegen die Registrierungspflicht beträgt der Bußgeldrahmen aber immerhin bis zu 500.000 Euro.
Tipp: Das BSI hat auf seiner Website eine ausführliche Anleitung für die NIS2-Registrierung veröffentlicht.
Was sollten Unternehmen jetzt tun?
NIS2 ist ausdrücklich ein Geschäftsleitungsthema. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen.
Unternehmen sollten deshalb jetzt sofort drei Punkte klären, bevor das BSI anklopft:
- Fällt Ihr Unternehmen unter NIS2?
- Ist die Registrierung erfolgt?
- Sind Risikomanagement, Meldeprozesse und Geschäftsleitungsverantwortung umgesetzt?
Wer seine Betroffenheit bislang nicht belastbar geprüft hat, sollte damit nicht bis zu einer Anfrage des BSI warten.