Am 31. Juli 2026 läuft die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gesetzte Nachfrist zur Registrierung nach dem NIS-2-Umsetzungsgesetz aus. Betroffen sind laut BSI-Schätzung rund 30.000 Unternehmen in Deutschland – deutlich mehr als die bislang knapp 4.500 klassischen KRITIS-Betreiber. Wer noch nicht registriert ist, sollte jetzt handeln, denn eine verspätete Registrierung ist zwar weiterhin möglich, ersetzt aber nicht die grundsätzliche Pflicht und die dahinterliegenden Sicherheitsanforderungen.
Der aktuelle Stand des NIS-2-Umsetzungsgesetzes
Das deutsche NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft und damit inzwischen seit rund einem halben Jahr geltendes Recht. Die ursprüngliche Registrierungsfrist bei der gemeinsamen Stelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) endete bereits am 6. März 2026. Weil sich bis dahin erst etwa 11.500 der rund 30.000 betroffenen Unternehmen gemeldet hatten, räumte das BSI eine Nachfrist bis zum 31. Juli 2026 ein. Für besonders wichtige Einrichtungen, wichtige Einrichtungen sowie Anbieter von Domain-Name-Registrierungsdiensten endet diese Nachfrist nun.
Wer zählt zu den betroffenen Einrichtungen?
Der Anwendungsbereich von NIS-2 reicht weit über den klassischen KRITIS-Kreis hinaus. Betroffen sind Unternehmen aus 18 Sektoren, darunter Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser- und Abwasserwirtschaft, Informationstechnik und Telekommunikation sowie verarbeitendes Gewerbe. Als besonders wichtige Einrichtung gilt in der Regel, wer mindestens 250 Mitarbeitende oder mehr als 50 Millionen Euro Umsatz aufweist; als wichtige Einrichtung bereits ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz. Viele mittelständische Unternehmen unterschätzen bislang, dass sie unter diese Schwellenwerte fallen.
Was droht bei einer verspäteten oder fehlenden Registrierung?
Das NIS-2-Umsetzungsgesetz sieht empfindliche Bußgelder vor:
- Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes
- Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes
- Persönliche Haftung der Geschäftsleitung für die Umsetzung des Risikomanagements sowie eine Pflicht zur regelmäßigen Schulungsteilnahme
Wer die Frist verpasst hat, sollte die Registrierung dennoch zeitnah nachholen: Das signalisiert dem BSI Handlungsbereitschaft und wirkt sich in der Regel mildernd aus, sofern erkennbar an einer Umsetzung gearbeitet wird.
Registrierung ist nur der erste Schritt
Die Meldung beim BSI ist ein rein formaler Akt – die eigentliche Arbeit beginnt danach. NIS-2 verlangt von Einrichtungen angemessene technische und organisatorische Maßnahmen für Risikomanagement, die Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden sowie die Dokumentation der ergriffenen Schutzmaßnahmen. Wer sich jetzt registriert, sollte deshalb parallel prüfen, ob Prozesse für Vorfallserkennung, Meldewege und Mitarbeiterschulungen bereits tragfähig aufgestellt sind.
Der Mensch bleibt das größte Einfallstor
Passend zur aktuellen Registrierungsfrist zeigt sich auch beim Blick auf die Bedrohungslage, wie wichtig menschzentrierte Sicherheit ist: Laut BSI beginnen bis zu 9 von 10 Cyberangriffen beim Menschen. Aktuell warnen BSI und Bundesamt für Verfassungsschutz zudem vor einer Phishing-Welle über Messengerdienste, während parallel eine intensive Betrugswelle gegen Bankkundinnen und -kunden von DKB, Sparkassen und Volksbanken läuft. Seit April 2026 sind zudem thematisch passende Phishing-Versuche um rund 500 Prozent gestiegen; KI-generierte Nachrichten erzielen dabei Klickraten, die viermal so hoch liegen wie bei klassischen Betrugsmails. Für Unternehmen bedeutet das: Technische Abwehr allein reicht nicht, wenn Mitarbeitende Angriffe nicht erkennen.
Wie AWM AwareX bei der Umsetzung unterstützt
AWM Schutz: sichert die E-Mail-Kommunikation von Unternehmen mehrstufig ab – von Anti-Phishing und Anti-Malware über Sandbox-Analyse für Anhänge und Links bis zur Datenverlustprävention, Verschlüsselung und manipulationsgeschützter Archivierung. Diese Maßnahmen liefern einen wesentlichen Baustein für die von NIS-2 geforderten technischen Schutzvorkehrungen und erleichtern zugleich die geforderte Dokumentation.
AWM Sensibilisierung: deckt die ebenso geforderte organisatorische Seite ab: realistische Phishing-Simulationen, adaptive Schulungen auf Basis aktueller Bedrohungslagen sowie ein Kultur- und Verhaltens-Dashboard für Führungskräfte schaffen die Nachweisbarkeit, die das BSI bei Prüfungen erwartet, und unterstützen zugleich die persönliche Schulungspflicht der Geschäftsleitung nach dem NIS-2-Umsetzungsgesetz.
Jetzt handeln, statt Bußgelder zu riskieren
Die auslaufende Nachfrist zum 31. Juli 2026 ist ein guter Anlass, die eigene NIS-2-Betroffenheit und den Umsetzungsstand zu prüfen – unabhängig davon, ob die Registrierung bereits erfolgt ist. AWM AwareX unterstützt Unternehmen in Deutschland, Österreich und der Schweiz dabei, die technischen und organisatorischen Anforderungen von NIS-2 mit einem mitarbeiterzentrierten Sicherheitsansatz zu erfüllen. Nehmen Sie unverbindlich Kontakt mit uns auf, um Ihren individuellen Handlungsbedarf zu besprechen. Ihre Sicherheit, unser Service.
Kontakt: www.awm-awarex.de | kontakt@awm-awarex.de | +49 7152 5695-110
