NIS2: Nach Nachfrist weiter zu wenig Registrierungen

Die NIS2-Nachfrist ist um, das Bild bleibt aber unverändert: Bei der Zahl der registrierten Kritis-Betreiber klafft weiterhin eine große Lücke zu dem, was die Bundesregierung ursprünglich kalkuliert hatte.

Am 31. Juli änderte die verlängerte Nachfrist zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Bis zu diesem Termin meldeten sich 18.845 Unternehmen und Behörden als Betroffene der NIS2-Pflichten, wie heise online berichtet. Erwartet hatte der Gesetzgeber ursprünglich rund 29.500 Registrierungen. Von den gemeldeten Stellen ordnen sich laut BSI 6.490 als „besonders wichtige Einrichtungen“ ein, 12.355 gelten als „wichtige Einrichtungen“.

Große Lücke zur ursprünglichen Schätzung

Grundlage der Erwartung von 29.500 Betroffenen war eine Berechnung des Statistischen Bundesamtes, auf die sich die Bundesregierung bei der Verabschiedung des NIS2-Umsetzungsgesetzes im Dezember 2025 gestützt hatte. Damit fehlen aktuell etwa 10.000 Registrierungen zur Prognose. Die Zahl lag schon zum ursprünglich vorgesehenen Stichtag Anfang März deutlich niedriger: Damals hatten sich erst rund 11.500 Betreiber ordnungsgemäß angemeldet. Die zusätzliche Frist hat die Differenz also nur zum Teil verkleinert.

Trotzdem bewertet das BSI die Lage positiv. Eine Sprecherin der Behörde nannte den aktuellen Stand laut dem Bericht im Grundsatz zufriedenstellend, räumte zugleich ein, dass etliche verpflichtete Stellen ihren gesetzlichen Vorgaben bisher nicht oder nur teilweise nachgekommen seien.

Zuordnung bereitet Unternehmen Schwierigkeiten

Ein Grund für die zögerliche Anmeldung liegt laut Bericht darin, dass längst nicht jedes Unternehmen ohne Weiteres bestimmen kann, ob es überhaupt zur Registrierung verpflichtet ist. Besonders bei verschachtelten Konzernstrukturen sei die rechtliche Einordnung schwierig, ein Punkt, den auch das BSI grundsätzlich anerkennt. Genau deshalb hatte die Behörde die eigentlich bereits beendete Registrierungsphase noch einmal verlängert.

An der grundsätzlichen Pflicht ändert das jedoch nichts. Wer sich nicht registriert, riskiert ein Bußgeld. Bislang hat das BSI zwar noch keine Sanktionen verhängt, beobachte die Entwicklung nach eigenen Angaben aber „engmaschig“.

Innenministerium beauftragt neue Berechnung

Weil die Registrierungszahlen so deutlich unter den Erwartungen liegen, hat das Bundesinnenministerium das Statistische Bundesamt mittlerweile gebeten, die frühere Schätzung zur Anzahl der verpflichteten Stellen neu zu berechnen. Das geht aus einer Antwort des Ministeriums an die Grünen Bundestagsabgeordnete Jeanne Dillschneider hervor, aus der heise online zitiert.

Dillschneider äußert sich kritisch zur Entwicklung. Bereits das Verstreichen der ersten, regulären Frist hätte demnach als Warnsignal verstanden werden müssen. Ihrer Einschätzung nach ist das Ausmaß der Bedrohung in Teilen der Wirtschaft und Verwaltung immer noch nicht angekommen.

(red)