NIS-2 im verarbeitenden Gewerbe: Registrierung, Maßnahmen und Haftung nach dem 31. Juli 2026

Ausgangslage: Vom KRITIS-Betreiber zum Mittelstand

Bis Ende 2025 regulierte das BSI-Gesetz rund 4.500 Organisationen, vor allem Betreiber kritischer Infrastrukturen wie Energieversorger, Krankenhäuser oder Wasserwerke. Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist, hat sich dieser Kreis auf etwa 29.500 Einrichtungen erweitert. Das Bundesamt für Sicherheit in der Informationstechnik ist für sie Aufsichtsbehörde geworden. Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen, wobei für beide Kategorien dieselben Kernpflichten gelten: Registrierung, Risikomanagement und Meldung erheblicher Sicherheitsvorfälle.

Für viele Industriebetriebe ist das neu. Ein Maschinenbauer mit 80 Beschäftigten, ein Chemiebetrieb mit 12 Millionen Euro Umsatz oder ein Entsorgungsunternehmen mit drei Standorten hatte bisher keine gesetzliche Cybersicherheitspflicht gegenüber einer Bundesbehörde. Genau diese Betriebe machen den Großteil der neu regulierten Einrichtungen aus. Die geringe Registrierungsquote zeigt, dass viele von ihnen ihre Betroffenheit noch nicht erkannt oder nicht priorisiert haben.

Das Registrierungsportal des BSI ist seit dem 6. Januar 2026 in Betrieb. Nach § 33 BSIG mussten sich betroffene Einrichtungen innerhalb von drei Monaten nach Inkrafttreten registrieren, also bis zum 6. März 2026. Zu diesem Stichtag lagen nach übereinstimmenden Berichten nur rund 11.500 Registrierungen vor. Nach der vom BSI veröffentlichten Statistik waren zum 30. Juni 2026 insgesamt 17.729 Unternehmen registriert, davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen; allein 4.095 Registrierungen entfielen auf den Sektor verarbeitendes Gewerbe. Das BSI hatte den Wirtschaftsverbänden zuvor mitgeteilt, dass es die vollständige Registrierung bis zum 31. Juli 2026 erwartet und bis dahin auf unmittelbare aufsichtliche Maßnahmen verzichtet.

Stand zum Redaktionsschluss dieses Beitrags am 23. August 2026: Die Duldungsfrist ist abgelaufen. Die auf der BSI-Seite veröffentlichte Übersicht steht weiterhin auf dem Stichtag 30. Juni 2026; ihre nächste Aktualisierung hat das BSI für den 31. Oktober 2026 angekündigt. In der Berichterstattung Anfang August 2026 wurden jedoch bereits aktuellere Zahlen des BSI zum Stichtag 31. Juli 2026 genannt: rund 12.354 wichtige und 6.487 besonders wichtige Einrichtungen sowie 217 Nebenniederlassungen, zusammen etwa 19.000 Registrierungen. Gegenüber der Schätzung von rund 29.500 betroffenen Einrichtungen fehlen damit weiterhin etwa 10.000. Das BSI bewertet den Stand nach Angaben einer Sprecherin als grundsätzlich zufriedenstellend und verweist darauf, dass sich die Betroffenheit bei komplexen Konzernstrukturen nur schwer rechtssicher bestimmen lässt. Zugleich hat das Bundesministerium des Innern das Statistische Bundesamt beauftragt, die Schätzung von 29.500 Einrichtungen zu überprüfen. Für den einzelnen Betrieb ändert das nichts: Ob die Gesamtzahl am Ende höher oder niedriger liegt, entscheidet nicht darüber, ob das eigene Unternehmen registrierungspflichtig ist. Wer noch nicht registriert ist, befindet sich seit dem 6. März 2026 im Verzug und sollte die Registrierung unverzüglich nachholen; nach Ablauf der Duldung ist mit einer konsequenteren Durchsetzung zu rechnen.

Quellen: BSI, NIS-2-Pflichten; BSI, NIS-2 in Zahlen, Auswertung zum 30. Juni 2026; SCHUTZWERK GmbH, NIS-2-Registrierung bis 31. Juli 2026, 9. Juli 2026; Berichterstattung vom August 2026 zu den BSI-Zahlen zum Stichtag 31. Juli 2026 und zur Überprüfung der Schätzung von 29.500 Einrichtungen durch das Statistische Bundesamt im Auftrag des Bundesministeriums des Innern

Was die abgelaufene Nachfrist rechtlich bedeutet

In der Berichterstattung war häufig von einer Fristverlängerung die Rede. Rechtlich trifft das nicht zu. Die gesetzliche Registrierungsfrist nach § 33 BSIG endete am 6. März 2026 und wurde nicht geändert. Der 31. Juli 2026 war eine Vollzugskulanz der Behörde: Das BSI hat angekündigt, verspätete Registrierungen bis zu diesem Datum zu dulden und in diesem Zeitraum keine Maßnahmen zu ergreifen. Unternehmen, die sich bis dahin nicht registriert haben, befinden sich seit März im Verzug und müssen seit August mit einer konsequenteren Durchsetzung rechnen.

Die Verletzung der Registrierungspflicht ist ein eigenständiger Bußgeldtatbestand. Nach § 65 BSIG kann sie mit bis zu 500.000 Euro geahndet werden. Davon unabhängig drohen bei Verstößen gegen die Risikomanagement- und Meldepflichten deutlich höhere Sanktionen: bis zu zehn Millionen Euro bei besonders wichtigen Einrichtungen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen. Liegt der weltweite Gesamtumsatz über 500 Millionen Euro, treten an die Stelle dieser Beträge zwei beziehungsweise 1,4 Prozent des Umsatzes, wobei jeweils der höhere Betrag gilt.

Für Betriebe, die ihre Registrierung noch nicht vorgenommen haben, gibt es deshalb nur einen sinnvollen Weg: die Betroffenheit jetzt belastbar prüfen und, falls sie gegeben ist, die Registrierung unverzüglich nachholen. Eine verspätete Registrierung ist gegenüber der Aufsicht in jedem Fall besser als gar keine, weil sie dokumentiert, dass das Unternehmen seine Pflichten erkannt hat und handelt.

Quelle: Dr. Kleeberg & Partner, NIS-2-Registrierung: BSI gewährt Nachfrist bis 31. Juli 2026, 15. Juli 2026

Wer betroffen ist: Sektoren und Schwellenwerte

Die Betroffenheit ergibt sich aus zwei Fragen: In welchem Sektor ist das Unternehmen tätig, und welche Größe erreicht es. Das Gesetz kennt 18 Sektoren, die in zwei Anlagen aufgeteilt sind. Anlage 1 enthält die Sektoren hoher Kritikalität wie Energie, Verkehr, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur und Weltraum. Anlage 2 enthält die sonstigen kritischen Sektoren, darunter Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittelproduktion, das verarbeitende Gewerbe sowie Anbieter digitaler Dienste und Forschung.

Für das verarbeitende Gewerbe ist die Zuordnung enger gefasst, als der Begriff vermuten lässt. Erfasst sind insbesondere die Herstellung von Medizinprodukten, Datenverarbeitungsgeräten und elektronischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen, Kraftwagen und Kraftwagenteilen sowie des sonstigen Fahrzeugbaus. Wer also Maschinen, Elektrotechnik oder Fahrzeugkomponenten herstellt, fällt bei Erreichen der Größenschwelle in den Anwendungsbereich. Die konkreten Wirtschaftszweige sind in der Anlage zum Gesetz nach der Klassifikation der Wirtschaftszweige benannt.

Bei der Größenermittlung ist Vorsicht geboten. Maßgeblich sind nach §§ 28 und 29 BSIG Beschäftigtenzahl, Umsatz und Bilanzsumme in Abhängigkeit vom Sektor; Betreiber kritischer Anlagen sowie Anbieter qualifizierter Vertrauensdienste, Top-Level-Domain-Registries und DNS-Diensteanbieter fallen unabhängig von ihrer Größe unter das Gesetz. Das BSI stellt einen Entscheidungsbaum bereit, der die Prüfschritte transparent macht, weist aber darauf hin, dass es keine verbindliche Mitteilung zur individuellen Betroffenheit erteilt. Betriebe in Unternehmensgruppen oder nahe an den Schwellenwerten sollten die Einordnung deshalb rechtlich prüfen lassen.

Das BSI bietet eine Online-Betroffenheitsprüfung an, die anonym genutzt werden kann und anhand eines Fragenkatalogs eine automatisierte Ersteinschätzung liefert. Das Ergebnis ist nach Angaben des BSI rechtlich nicht bindend und ersetzt die Prüfung zur Selbstidentifizierung nicht. Unabhängig vom Ergebnis sollte die Prüfung dokumentiert werden: Sektorzuordnung mit Wirtschaftszweigcode, Beschäftigtenzahl, Umsatz, Bilanzsumme, Berücksichtigung verbundener Unternehmen, Datum und verantwortliche Person. Diese Dokumentation ist der Nachweis gegenüber der Aufsicht, falls das BSI die Einstufung später hinterfragt. Das gilt ausdrücklich auch für Unternehmen, die zu dem Ergebnis kommen, nicht betroffen zu sein.

Quellen: SCHUTZWERK GmbH, Abschnitt Sektoren und Schwellenwerte; BSI, NIS-2-Pflichten, Abschnitt Registrierung

Registrierung in zwei Stufen: Mein Unternehmenskonto und BSI-Portal

Das BSI sieht einen zweistufigen Registrierungsprozess vor. Im ersten Schritt registriert sich das Unternehmen beim digitalen Dienst Mein Unternehmenskonto (MUK), der auf der ELSTER-Technologie basiert. Dafür wird ein ELSTER-Organisationszertifikat benötigt, das über die Steuernummer der juristischen Person beantragt wird. Für die Beantragung sollten mehrere Werktage Vorlauf eingeplant werden.

Der erste Nutzer im Unternehmenskonto übernimmt die Rolle des Verwalters, kann weitere Personen einladen und Rollen vergeben. Im zweiten Schritt folgt die eigentliche NIS-2-Registrierung im BSI-Portal unter portal.bsi.bund.de. Dort werden folgende Angaben erfasst:

• Name und Anschrift der Einrichtung sowie Rechtsform, Registerart, Registernummer und Registergericht, die aus dem Unternehmenskonto übernommen werden
• Angaben zur NIS-2-Kontaktstelle: Organisationseinheit, Anschrift, Telefonnummer und E-Mail-Adresse
• Angaben zur NIS-2-Kontaktperson: Name, Rolle oder Funktion, Telefonnummer und E-Mail-Adresse
• Sektor, Branche und Einrichtungsart
• EU-Mitgliedstaaten, in denen Dienste erbracht werden
• Zuständige Aufsichtsbehörden des Bundes und der Länder
• Unternehmensgröße mit Beschäftigtenzahl, Jahresumsatz und Bilanzsumme
• Angaben für Betreiber kritischer Anlagen, sofern zutreffend
• Öffentlich erreichbare IP-Adressbereiche

Die Registrierung selbst ist in kurzer Zeit erledigt, sobald der Zugang über das Unternehmenskonto steht. Aufwendig sind die Vorarbeiten: die Betroffenheitsprüfung, die Ermittlung der IP-Adressbereiche, die Benennung einer erreichbaren Kontaktstelle und die Klärung, welche Person intern die Berechtigungen verwaltet. Änderungen der gemeldeten Daten sind dem BSI unverzüglich, spätestens innerhalb von zwei Wochen, über das Portal mitzuteilen. Das betrifft etwa einen Wechsel der Kontaktperson, neue IP-Bereiche oder eine veränderte Unternehmensgröße nach einer Übernahme.

Eine Registrierung im BSI-Portal allein ist noch keine NIS-2-Registrierung. Das Portal umfasst nach Angaben des BSI daneben weitere Fachverfahren wie die Luftsicherheit und die Allianz für Cybersicherheit. Die NIS-2-Registrierung ist ein eigener Vorgang innerhalb des Portals und muss ausdrücklich abgeschlossen werden. Für Betreiber kritischer Anlagen und für Einrichtungen der Sektoren digitale Dienste und digitale Infrastrukturen gelten gegebenenfalls gesonderte Registrierungspflichten.

Quellen: BSI, NIS-2-Pflichten, Abschnitt Registrierung im BSI-Portal; SCHUTZWERK GmbH, Abschnitt Registrierung Schritt für Schritt

Die zehn Mindestmaßnahmen nach § 30 BSIG

Die Registrierung belegt lediglich, dass ein Unternehmen seine Betroffenheit erkannt hat. Die eigentliche Verpflichtung liegt im Risikomanagement. Nach § 30 BSIG müssen betroffene Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und dokumentieren. Die Verhältnismäßigkeit bemisst sich nach Risikoexposition, Größe der Einrichtung, Kosten, Eintrittswahrscheinlichkeit sowie Schwere und Folgen möglicher Sicherheitsvorfälle. Die Maßnahmen müssen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Sie müssen alle informationstechnischen Systeme, Komponenten und Prozesse abdecken, die das Unternehmen für die Erbringung seiner Dienste nutzt, im Industriebetrieb also auch die Steuerungstechnik in der Produktion.

Das Gesetz benennt zehn Bereiche, die mindestens abzudecken sind:

1. Risikoanalyse und Sicherheitskonzepte: Ein dokumentiertes Verfahren, mit dem Risiken für die Informationstechnik identifiziert, bewertet und behandelt werden.
2. Bewältigung von Sicherheitsvorfällen: Ein Prozess zur Erkennung, Eindämmung und Aufarbeitung von Vorfällen, einschließlich Zuständigkeiten und Kommunikationswegen.
3. Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Für einen Produktionsbetrieb bedeutet das auch einen Plan für den Weiterbetrieb bei Ausfall von ERP oder Leitsystem.
4. Sicherheit der Lieferkette: Sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern, etwa Wartungszugänge von Maschinenherstellern oder Cloud-Anbietern.
5. Sicherheit bei Erwerb, Entwicklung und Wartung: Anforderungen an neue Systeme und Komponenten, einschließlich des Managements und der Offenlegung von Schwachstellen.
6. Bewertung der Wirksamkeit: Konzepte und Verfahren, mit denen regelmäßig überprüft wird, ob die Maßnahmen tatsächlich wirken.
7. Schulungen und Sensibilisierung: Grundlegende Cyberhygiene und Schulungen für alle Beschäftigten, nicht nur für die IT.
8. Kryptographie: Konzepte und Verfahren für den Einsatz von Verschlüsselung, etwa für Datenträger, Fernzugänge und E-Mail.
9. Personalsicherheit, Zugriffskontrolle und Asset Management: Wer darf auf welche Systeme zugreifen, wie werden Berechtigungen vergeben und entzogen, welche Geräte und Anwendungen sind im Einsatz.
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation: MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation.

Das BSI stellt zu den meisten dieser Bereiche eigene Informationspakete unter dem Stichwort nis2know bereit, die Erläuterungen und Hilfestellungen enthalten. Wer ein Informationssicherheitsmanagementsystem nach ISO 27001 oder nach IT-Grundschutz betreibt, deckt die zehn Bereiche weitgehend ab und muss vor allem die Dokumentation auf die Begrifflichkeiten des Gesetzes abbilden. Betriebe ohne ISMS sollten mit einer Bestandsaufnahme beginnen, die den Reifegrad in jedem der zehn Bereiche ehrlich bewertet, und daraus eine priorisierte Maßnahmenliste ableiten.

Quelle: BSI, NIS-2-Pflichten, Abschnitt Risikomanagement implementieren und dokumentieren

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Besonders wichtige und wichtige Einrichtungen müssen dem BSI erhebliche Sicherheitsvorfälle melden. Erheblich sind Vorfälle, die zu schwerwiegenden Betriebsstörungen der Dienste, zu finanziellen Verlusten oder zu Schäden für Dritte führen. Eine weitere Konkretisierung hat das BSI angekündigt. Für einen Produktionsbetrieb kommen als erhebliche Vorfälle etwa ein Ransomware-Angriff mit Stillstand der Fertigung, der Abfluss von Konstruktionsdaten oder eine Manipulation der Steuerungstechnik in Betracht.

Die Meldung erfolgt in drei Stufen. Innerhalb von 24 Stunden nach Kenntniserlangung ist eine frühe Erstmeldung abzugeben. Innerhalb von 72 Stunden folgt eine Meldung mit einer ersten Bewertung des Vorfalls, die Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren sowie Kontaktinformationen umfasst. Spätestens einen Monat nach dieser Meldung ist eine Abschlussmeldung fällig. Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle. Auf Ersuchen des BSI sind zusätzlich Zwischenmeldungen vorzulegen.

Meldestelle ist das BSI-Portal. Einrichtungen, die einen erheblichen Vorfall erleiden, bevor sie im Portal registriert sind, melden ihn über ein Online-Formular des Melde- und Informationsportals. Das BSI quittiert Meldungen, nimmt gegebenenfalls Kontakt auf und verarbeitet die Informationen anonymisiert in seinen Lagebildern. Die kurzen Fristen setzen voraus, dass der Betrieb einen Vorfall überhaupt zeitnah erkennt und dass klar ist, wer intern die Meldung abgibt. Beides gehört in den Prozess zur Bewältigung von Sicherheitsvorfällen und sollte mindestens einmal im Jahr geübt werden.

Quelle: BSI, NIS-2-Pflichten, Abschnitt Meldepflicht

Verantwortung der Geschäftsleitung

NIS-2 verankert Cybersicherheit ausdrücklich auf Führungsebene. Die Verantwortung für Umsetzung und Überwachung der Risikomanagementmaßnahmen liegt bei der Geschäftsleitung und kann nicht vollständig auf die IT-Abteilung oder einen externen Dienstleister übertragen werden. Nach § 38 BSIG haftet die Geschäftsleitung persönlich für die Einhaltung der Pflichten. Geschäftsführer und Vorstände müssen zudem regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken im Bereich der Informationssicherheit selbst beurteilen zu können. Das BSI bietet hierzu Informationen zur Geschäftsleitungsschulung an.

Für die Praxis empfiehlt sich ein festes Berichtsformat: Die Geschäftsleitung lässt sich in regelmäßigen Abständen über den Stand der zehn Maßnahmenbereiche, offene Risiken, Vorfälle und Schulungsquoten berichten und dokumentiert die Kenntnisnahme und die getroffenen Entscheidungen. Diese Protokolle sind im Fall einer Prüfung oder eines Vorfalls der Nachweis, dass die Leitung ihrer Überwachungspflicht nachgekommen ist. Die Teilnahme an Schulungen sollte mit Datum, Inhalt und Anbieter dokumentiert werden.

Quellen: Dr. Kleeberg & Partner, Abschnitt Haftung der Geschäftsleitung nach § 38 BSIG; BSI, NIS-2-Pflichten und NIS-2-Geschäftsleitungsschulung

Auswirkungen auf Zulieferer unterhalb der Schwelle

Auch Betriebe, die selbst nicht unter NIS-2 fallen, spüren die Auswirkungen. Die vierte Mindestmaßnahme verpflichtet regulierte Unternehmen, die Sicherheit ihrer Lieferkette zu betrachten, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Ein regulierter Automobilzulieferer oder Maschinenbauer wird deshalb seine Lieferanten und IT-Dienstleister nach deren Sicherheitsniveau fragen und entsprechende Anforderungen in Verträge und Lieferantenbewertungen aufnehmen. Typische Forderungen sind Nachweise über Backup-Konzepte, MFA für Fernzugänge, Schwachstellenmanagement, Mitarbeiterschulungen und definierte Meldewege bei Vorfällen beim Lieferanten.

Für kleinere Zulieferer mit 20 oder 30 Beschäftigten bedeutet das, dass sie sich faktisch an den zehn Maßnahmenbereichen orientieren müssen, um lieferfähig zu bleiben, auch ohne gesetzliche Pflicht. Wer das frühzeitig angeht, kann die Sicherheitsfragebögen seiner Kunden ohne Verzögerung beantworten und sich im Wettbewerb um Aufträge von Unternehmen, die es nicht können, abheben. Umgekehrt sollten regulierte Betriebe ihre Lieferkettenanforderungen verhältnismäßig gestalten und mit den kritischen Lieferanten beginnen, deren Ausfall die eigene Produktion unmittelbar treffen würde.

Quelle: BSI, NIS-2-Pflichten, Maßnahme 4 Sicherheit der Lieferkette

Umsetzungsplan für Betriebe, die jetzt beginnen

Die folgende Reihenfolge hat sich für Betriebe bewährt, die ihre Betroffenheit erst jetzt klären oder die Registrierung nachholen. Sie setzt bei den Pflichten an, deren Versäumnis am schnellsten Konsequenzen hat, und arbeitet sich dann in den Aufbau des Risikomanagements vor.

Für die Produktion ist die Bestandsaufnahme in Phase 4 besonders wichtig, weil dort häufig Steuerungen, HMI-Panels und Fernwartungszugänge betrieben werden, die in keinem IT-Inventar auftauchen. Das Gesetz verlangt, dass alle Systeme erfasst werden, die für die Erbringung der Dienste genutzt werden. Eine Maschine, deren Ausfall die Lieferfähigkeit gefährdet, gehört deshalb in das Risikomanagement, auch wenn sie nicht von der IT-Abteilung betreut wird.

Checkliste NIS-2 für Industriebetriebe

Prüfpunkte für Geschäftsleitung und IT-Verantwortliche

• Sektorzuordnung nach Anlage 1 oder 2 geprüft und Wirtschaftszweigcode dokumentiert
• Beschäftigte, Umsatz und Bilanzsumme inklusive Partner- und verbundener Unternehmen ermittelt
• Betroffenheitsprüfung schriftlich dokumentiert, auch bei Nichtbetroffenheit
• ELSTER-Organisationszertifikat vorhanden und Mein Unternehmenskonto eingerichtet
• NIS-2-Registrierung im BSI-Portal abgeschlossen, Bestätigung archiviert
• Kontaktstelle und Kontaktperson benannt, Erreichbarkeit außerhalb der Bürozeiten geregelt
• Meldeprozess mit 24-Stunden-, 72-Stunden- und Monatsfrist festgelegt und geübt
• Reifegrad in allen zehn Maßnahmenbereichen bewertet und Maßnahmenplan priorisiert
• Inventar umfasst IT und Produktionssysteme einschließlich Fernwartungszugängen
• Lieferanten und Dienstleister mit Sicherheitsanforderungen eingebunden
• Geschäftsleitung geschult, Teilnahme dokumentiert, regelmäßiges Berichtsformat eingeführt
• Änderungen der Registrierungsdaten werden innerhalb von zwei Wochen gemeldet

Fazit

NIS-2 hat den Kreis der regulierten Unternehmen in Deutschland von 4.500 auf 29.500 erweitert und damit viele Industriebetriebe erstmals unter die Aufsicht des BSI gestellt. Die Statistik des BSI zeigt, dass zum 30. Juni 2026 rund 40 Prozent dieser Betriebe noch nicht registriert waren. Wer dazu gehört, sollte die Betroffenheit jetzt klären und die Registrierung nachholen, denn die gesetzliche Pflicht besteht seit März 2026 und die Phase der behördlichen Zurückhaltung ist beendet.

Die Registrierung ist dabei der kleinste Teil der Aufgabe. Die zehn Maßnahmenbereiche, die Meldefristen und die persönliche Verantwortung der Geschäftsleitung verlangen einen dauerhaften Prozess, der Produktion und Verwaltung gleichermaßen einschließt. Betriebe, die diesen Prozess strukturiert aufbauen, erfüllen nicht nur eine gesetzliche Pflicht, sondern sichern auch ihre Lieferfähigkeit gegenüber Kunden, die dieselben Anforderungen in ihre Lieferkette weitergeben.

Quellen

• Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Pflichten (Registrierungspflicht, Meldepflicht, Risikomanagement nach § 30 BSIG)
• Bundesamt für Sicherheit in der Informationstechnik: NIS-2 in Zahlen, Registrierungs- und Meldungszahlen zum 30. Juni 2026
• Dr. Kleeberg & Partner GmbH: NIS-2-Registrierung, BSI gewährt Nachfrist bis 31. Juli 2026, 15. Juli 2026
• SCHUTZWERK GmbH: NIS-2-Registrierung bis 31. Juli 2026, was Unternehmen jetzt beachten sollten, 9. Juli 2026

Alle externen Quellen wurden am 23. August 2026 abgerufen und waren zu diesem Zeitpunkt erreichbar. Alle Registrierungszahlen geben den Stand vom 23. August 2026 wieder. Die amtliche BSI-Übersicht „NIS-2 in Zahlen“ bezog sich zu diesem Zeitpunkt auf den Stichtag 30. Juni 2026 und wird laut BSI zum 31. Oktober 2026 fortgeschrieben; die genannten Zahlen zum 31. Juli 2026 stammen aus der Berichterstattung über aktuellere Angaben des BSI und weichen je nach Quelle geringfügig voneinander ab. Dieser Beitrag stellt allgemeine Informationen dar und ersetzt keine rechtliche Beratung zur Betroffenheit im Einzelfall.