NIS-2-Registrierung und die Lücke in der Statistik
18.845 Registrierungen von Einrichtungen, die unter die NIS-2-Richtlinie fallen, zum 31.07.2026 – gegenüber einer erwarteten Zahl von rund 29.500. Die Differenz prägt die Debatte über NIS-2. Sie belegt jedoch nicht, dass rund 10.000 Einrichtungen ihre Pflichten ignorieren.
Die Zahl von 29.500 war eine Schätzung des Statistischen Bundesamtes auf Basis älterer Daten. Das Bundesinnenministerium lässt diese Bezugsgröße inzwischen neu berechnen. Damit ist die vielzitierte Registrierungslücke vor allem eines sicher nicht: ein belastbarer Nachweis über die tatsächliche Zahl registrierungspflichtiger Einrichtungen. Sie beschreibt die Differenz zwischen Registrierungen und einer Prognose, deren Grundlage nun selbst überprüft wird.
https://www.it-daily.net/shortnews/nis2-nach-nachfrist-weiter-zu-wenig-registrierungen
Für die eigene Organisation ist diese Debatte dennoch kein Grund zum Abwarten. Die Registrierungspflicht entsteht nicht durch eine bundesweite Quote und auch nicht durch ein Anschreiben des BSI. § 33 BSIG knüpft sie an den Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als wichtig oder besonders wichtig gilt. Ab diesem Zeitpunkt läuft die individuelle Dreimonatsfrist.
https://www.gesetze-im-internet.de/bsig_2025/__33.html
Der 31.07.2026 war dabei eine vom BSI kommunizierte Erwartung, nicht jedoch eine neue gesetzliche Frist. Für Einrichtungen, die bereits am 6. Dezember 2025 erfasst waren, endete die gesetzliche Dreimonatsfrist am 6. März 2026. Eine fehlende oder verspätete Registrierung kann nach § 65 BSIG bußgeldbewehrt sein.
https://itmr-legal.de/blog/nis2-registrierung-verpasst
Entscheidend ist deshalb die Selbsteinstufung je Rechtseinheit. Gerade in Konzernen liegt das Risiko oft nicht bei der Mitarbeiterzahl, sondern bei der Frage, welche Gesellschaft welche Dienstleistung erbringt und welchem regulierten Sektor sie zuzuordnen ist. Eine Konzernentscheidung ersetzt diese Prüfung nicht.
Die Empfehlung lautet, die Betroffenheitsprüfung je Rechtseinheit zu dokumentieren. Das gilt auch für den Zeitpunkt der erstmaligen Betroffenheit und für den Beginn der daraus folgenden individuellen Dreimonatsfrist.