Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verschärft bei der Umsetzung der NIS2-Richtlinie den Ton, setzt aber zunächst weiter auf Kooperation. Seit Inkrafttreten des novellierten BSI-Gesetzes am 6. Dezember 2025 müssen sich betroffene Unternehmen beim BSI registrieren. Ziel ist es, Störungen und Sicherheitsvorfälle bei Einrichtungen mit besonderer Bedeutung für Wirtschaft und Gesellschaft zu verhindern.

Die gesetzliche Registrierungsfrist ist am 6. März abgelaufen. Doch die Umsetzung stockt. In einem heise online vorliegenden Schreiben an Branchenverbände räumt das BSI ein, dass sich deutlich weniger Firmen angemeldet haben als erwartet. Die Organisationen sollen ihre Mitglieder daher erneut auf die Pflicht hinweisen. Das BSI geht davon aus, dass alle noch ausstehenden Registrierungen bis spätestens 31. Juli 2026 abgeschlossen werden.

Um den Prozess zu erleichtern, verweist die Behörde auf einen Frage-Antwort-Katalog, eine unverbindliche Betroffenheitsprüfung sowie weitere Informationsangebote unter dem Hashtag „#nis2know“. Offene Fragen sollen über die Verbände gebündelt ans BSI übermittelt werden. In Ausnahmefällen gewährt die Behörde eine Nachfrist von sechs Wochen nach Klärung offener Fragen.

Eine BSI-Sprecherin sagte heise online, der Stand der Anmeldungen sei „grundsätzlich zufriedenstellend“. Bis Ende Mai hätten sich knapp 18.500 Einrichtungen registriert. Der Aufwand sei gerade für bislang nicht regulierte Firmen und den Mittelstand hoch. Deshalb baue das Amt weiter auf Aufklärung. Zugleich macht die Behörde deutlich, dass bei anhaltenden Verstößen Bußgelder möglich seien. Sie können bis zu 500.000 Euro betragen.

Experten fordern: „Zähne zeigen“

Der IT-Sicherheitsrechtler Dennis-Kenji Kipker und der Rechtsanwalt Stefan Hessel bewerten die Lage kritischer. Dass mehr als die Hälfte der betroffenen Unternehmen ihrer Registrierungspflicht nicht nachkommt, halten sie für ein alarmierendes Signal. Wer sich nicht melde, beachte gesetzliche Anforderungen zur Cybersicherheit nicht ausreichend.

Die Experten drängen deshalb auf ein entschlosseneres Vorgehen des BSI. Zwar habe auch der Gesetzgeber durch unklare Ausnahmen Rechtsunsicherheit geschaffen. Die Behörde verliere sich aber zu sehr im Detail, statt klare Leitlinien zu setzen. Das Motto müsse lauten: „Zähne zeigen.“ Nur gezielte Kontrollen und spürbare Sanktionen könnten dem Gesetz die nötige Wirkung verleihen. Andernfalls drohe NIS2 zum „Papiertiger“ zu werden und die angestrebte bessere Cybersicherheit eine theoretische Vorgabe zu bleiben.

(wpl)