Für tausende Unternehmen in Deutschland tickt die Uhr: Bis zum 31. Juli 2026 räumt das Bundesamt für Sicherheit in der Informationstechnik (BSI) betroffenen Organisationen eine letzte Frist ein, um sich im Rahmen des NIS-2-Umsetzungsgesetzes zu registrieren. Ursprünglich war die Registrierung bereits bis zum 6. März 2026 vorgeschrieben – bis dahin hatten sich jedoch erst rund 11.500 der geschätzt 29.500 betroffenen Unternehmen gemeldet. Wer auch die verlängerte Frist verstreichen lässt, riskiert empfindliche Konsequenzen.
Worum es bei der NIS-2-Registrierungsfrist geht
Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft und überträgt die europäische NIS-2-Richtlinie in deutsches Recht. Es verpflichtet sogenannte „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ aus Sektoren wie Energie, Gesundheit, Verkehr, Finanzwesen oder digitale Infrastruktur, sich bei der gemeinsamen Registrierungsstelle des BSI zu melden. Laut aktuellen Angaben hatten sich bis zur verlängerten Frist erst rund 18.500 der erwarteten 29.500 Unternehmen registriert – ein erheblicher Teil der Betroffenen hat also weiterhin Handlungsbedarf.
Wer jetzt noch prüfen sollte, ob er betroffen ist
Nicht nur klassische KRITIS-Betreiber fallen unter die neuen Regeln. Auch mittelständische Zulieferer, IT-Dienstleister und Unternehmen mit Bezug zu kritischen Lieferketten können erfasst sein. Wer bislang keine Betroffenheitsprüfung durchgeführt hat, sollte dies kurzfristig nachholen. Die Kriterien orientieren sich unter anderem an Sektor, Unternehmensgröße und Umsatz.
Diese Konsequenzen drohen bei Versäumnis
Bereits ein Verstoß gegen die reine Registrierungspflicht kann laut Gesetz mit Bußgeldern von bis zu 500.000 Euro geahndet werden. Wer die grundlegenden Cybersicherheitspflichten aus NIS-2 insgesamt nicht umsetzt, muss mit Bußgeldern von bis zu 10 Millionen Euro sowie mit einer persönlichen Haftung der Geschäftsführung rechnen. Der 31. Juli 2026 ist dabei kein neuer gesetzlicher Stichtag, sondern eine letzte Kulanzfrist des BSI vor einer konsequenteren Durchsetzung.
Praktische Schritte bis zum 31. Juli 2026
Betroffene Unternehmen sollten jetzt zügig folgende Punkte klären:
- Betroffenheit anhand von Sektor, Unternehmensgröße und Umsatz prüfen
- Registrierung bei der BSI-Meldestelle nachholen, sofern noch nicht erfolgt
- Verantwortlichkeiten für NIS-2 in Geschäftsführung und IT klar festlegen
- Bestehende E-Mail- und IT-Sicherheitsmaßnahmen mit den NIS-2-Anforderungen abgleichen
- Schulungs- und Sensibilisierungsprogramm für Mitarbeitende etablieren oder ausbauen
- Meldewege für Sicherheitsvorfälle dokumentieren und im Unternehmen bekannt machen
Registrierung ist nur der erste Schritt
Mit der Meldung beim BSI allein ist es nicht getan. NIS-2 verlangt von betroffenen Organisationen ein umfassendes Risikomanagement, darunter Vorfallmeldeprozesse, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrollen und Maßnahmen gegen Cyberangriffe, die über E-Mail und Social Engineering erfolgen.
Der Mensch bleibt das größte Risiko
Laut BSI beginnen bis zu neun von zehn Cyberangriffen beim Menschen. Diese Zahl gewinnt zusätzlich an Bedeutung, da laut aktuellen Auswertungen inzwischen ein Großteil der Phishing-Mails KI-generiert ist. Rechtschreibfehler oder plumpe Formulierungen, an denen Mitarbeitende früher verdächtige Mails erkennen konnten, fallen damit zunehmend als Warnsignal weg. Wer NIS-2-konform werden will, kommt an zwei Bausteinen nicht vorbei: technischem E-Mail-Schutz und einer kontinuierlichen Sensibilisierung der Belegschaft.
Wie AWM AwareX bei der NIS-2-Umsetzung unterstützt
Genau hier setzt AWM AwareX an. AWM Schutz bietet mehrstufige E-Mail-Sicherheit mit Anti-Phishing-, Anti-Malware- und Anti-Spam-Filtern, Sandbox-Analyse für Anhänge und Links, Datenverlustprävention, E-Mail-Verschlüsselung sowie eine bis zu zehn Jahre manipulationsgeschützte Archivierung – zentrale Bausteine, um die technischen Anforderungen von NIS-2 im Bereich E-Mail-Kommunikation abzudecken. Ergänzend schafft AWM Sensibilisierung mit realistischen Phishing-Simulationen, adaptiven Schulungen und einem Kultur-Dashboard für Führungskräfte die organisatorische Grundlage, um Mitarbeitende dauerhaft für aktuelle Bedrohungen zu wappnen und eine gelebte Sicherheitskultur nachweisbar zu machen.Unternehmen, die die NIS-2-Registrierungsfrist am 31. Juli 2026 noch vor sich haben oder unsicher sind, ob und wie sie betroffen sind, sollten jetzt handeln – bei der formalen Registrierung ebenso wie bei der technischen und organisatorischen Umsetzung. AWM AwareX unterstützt Unternehmen in Deutschland, Österreich und der Schweiz dabei, E-Mail-Sicherheit und Security Awareness NIS-2-konform aufzubauen. Nehmen Sie unverbindlich Kontakt auf unter kontakt@awm-awarex.de oder +49 7152 5695-110 – Ihre Sicherheit, unser Service.
