Orientierung
NIS-2-Registrierung beim BSI (§§ 33 und 34 BSIG)
Wer als besonders wichtige oder wichtige Einrichtung gilt, muss sich beim BSI registrieren und Stamm- sowie Kontaktdaten aktuell halten. § 33 und § 34 BSIG regeln zwei parallele Meldewege mit unterschiedlichen Fristen. Diese Seite fasst die Pflichten zusammen. Sie ist keine Rechtsberatung und garantiert keinen erfolgreichen Portalzugang in Ihrem Einzelfall.
Zwei Registrierungspflichten
§ 33 BSIG verpflichtet besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister, dem BSI bestimmte Angaben zu übermitteln. Dazu gehören Name und Rechtsform, Anschrift, Kontaktdaten, relevanter Sektor, EU-Mitgliedstaaten mit Dienstleistungen und zuständige Aufsichtsbehörden.
§ 34 BSIG betrifft bestimmte Einrichtungsarten nach § 60 BSIG und verlangt zusätzliche Angaben, darunter Branche, Niederlassungen in der EU und öffentliche IP-Adressbereiche. Welcher Pfad für Sie gilt, hängt von Ihrer Einordnung ab. Klären Sie das vor der Meldung, nicht danach.
Erstmeldung: drei Monate
Beide Normen setzen für die Erstmeldung eine Frist von spätestens drei Monaten, nachdem Sie erstmals oder erneut als betroffene Einrichtung gelten bzw. die jeweilige Tätigkeit aufnehmen. Die Frist beginnt mit der rechtlichen Betroffenheit, nicht mit dem Zeitpunkt, zu dem Sie sich im Portal anmelden.
Eine verspätete Registrierung hebt die zugrunde liegende Pflicht nicht auf. Sie müssen trotzdem melden und Daten nachführen. Ob und wann Behörden reagieren, hängt vom Einzelfall ab; diese Seite macht daraus keine Prognose.
Änderungsmeldungen: zwei Wochen vs. drei Monate
Nach § 33 Abs. 5 BSIG sind Änderungen der gemeldeten Angaben unverzüglich, spätestens jedoch binnen zwei Wochen ab dem Zeitpunkt zu übermitteln, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat.
Nach § 34 Abs. 2 BSIG gelten für die dort erfassten Einrichtungen Änderungsmeldungen unverzüglich, spätestens jedoch innerhalb von drei Monaten ab dem Tag, an dem die Änderung eingetreten ist. Die unterschiedlichen Fristen sind kein Detail für die Ablage: Wer beide Pfade berührt, muss beide Rhythmen im Blick behalten.
Portal, MUK und ELSTER
Das BSI richtet die technische Abwicklung über das BSI-Portal aus. In der Praxis melden sich viele Unternehmen über Mein Unternehmenskonto (MUK) mit einem ELSTER-Organisationszertifikat an, je nachdem, welche Zugangsart Ihre Organisation bereits nutzt. Die genaue Ausgestaltung legt das BSI im Einvernehmen mit dem BBK fest und veröffentlicht sie auf seiner Website.
Die BSI-FAQ zu NIS-2 und BSIG ist der erste Anlaufpunkt für aktuelle Hinweise zum Registrierungsverfahren. Wenn der Zugang scheitert oder die Zuordnung unklar ist, lohnt sich Fachberatung, nicht das Raten in einem Formular.
Was Registrierung nicht erledigt
Mit der Meldung sind Risikomanagement, Nachweise nach § 30 BSIG, Meldeprozesse nach § 32 BSIG und Management-Pflichten nach § 38 BSIG nicht erledigt. Registrierung ist Stammdatenpflege, nicht Umsetzung. Ob Sie überhaupt registrieren müssen, hängt von der Betroffenheitsfrage nach § 28 BSIG ab.
Einordnung vor der Registrierung prüfen