Auf den Punkt: Von den ursprünglich erwarteten rund 29.500 NIS2-Registrierungen haben sich beim BSI bis zum 31. Juli nur 18.845 Betreiber gemeldet, weshalb das Innenministerium eine Neuberechnung der Betroffenenzahl veranlasst hat.
Auch nach Ablauf der verlängerten Nachfrist am 31. Juli haben sich deutlich weniger Kritis-Betreiber beim BSI registriert als die Bundesregierung ursprünglich erwartet hatte. Das Bundesinnenministerium hat inzwischen eine Neuberechnung der Betroffenenzahl in Auftrag gegeben.
Bis zum 31. Juli 2025, dem Ende der verlängerten Nachfrist, meldeten sich laut einem Bericht von heise online 18.845 Unternehmen und Behörden beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als von den NIS2-Pflichten betroffen. Davon ordnen sich 6.490 Stellen als „besonders wichtige Einrichtungen“ ein, 12.355 gelten als „wichtige Einrichtungen“. Der Gesetzgeber war ursprünglich, gestützt auf eine Berechnung des Statistischen Bundesamtes im Rahmen der Verabschiedung des NIS2-Umsetzungsgesetzes im Dezember 2025, von rund 29.500 Registrierungen ausgegangen. Es fehlen damit rund 10.000 Meldungen zur ursprünglichen Prognose. Zum regulären, ersten Stichtag Anfang März hatten sich erst etwa 11.500 Betreiber angemeldet, die zusätzliche Frist hat die Lücke also nur teilweise geschlossen.
Für Compliance-Verantwortliche in Unternehmen bleibt die Registrierungspflicht unabhängig von der insgesamt niedrigen Quote bestehen. Wer sich nicht anmeldet, riskiert ein Bußgeld. Das BSI hat nach eigenen Angaben bislang keine Sanktionen verhängt, beobachtet die Entwicklung aber „engmaschig“. Für Unternehmen bedeutet das keine faktische Entwarnung, sondern eher eine Phase, in der Durchsetzung jederzeit einsetzen kann, sobald das BSI dies für angebracht hält.
Ein wesentlicher Grund für die schleppende Anmeldung liegt laut Bericht in Abgrenzungsschwierigkeiten: Nicht jedes Unternehmen kann ohne Weiteres bestimmen, ob es überhaupt zur Registrierung verpflichtet ist. Besonders bei verschachtelten Konzernstrukturen gestaltet sich die rechtliche Einordnung schwierig, ein Problem, das auch das BSI anerkennt und das mitursächlich für die Verlängerung der Registrierungsphase war. Für Compliance-Abteilungen in Konzernen mit komplexen Beteiligungsverhältnissen ist dies ein konkreter Hinweis darauf, die eigene Betroffenheitsprüfung noch einmal zu verifizieren, statt sich auf eine erste Einschätzung zu verlassen.
Das Bundesinnenministerium hat das Statistische Bundesamt mittlerweile gebeten, die frühere Schätzung zur Zahl der verpflichteten Stellen neu zu berechnen. Dies geht aus einer Antwort des Ministeriums an die Grünen-Bundestagsabgeordnete Jeanne Dillschneider hervor, aus der heise online zitiert. Dillschneider kritisiert die Entwicklung und sieht bereits das Verstreichen der ersten regulären Frist als Warnsignal, das nicht ausreichend beachtet worden sei. Ihrer Einschätzung nach ist das Ausmaß der Bedrohungslage in Teilen von Wirtschaft und Verwaltung noch nicht angekommen. Für die Praxis dürfte die angekündigte Neuberechnung mittelfristig auch Auswirkungen auf die Einordnung haben, welche Unternehmen künftig tatsächlich als betroffen gelten.
Quelle: www.it-daily.net · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.