NIS2: Unternehmen brauchen endlich Rechtssicherheit statt weiterer Übergangsfristen

BSI verlängert faktisch die Frist für die NIS2-Registrierung – praktische und rechtliche Unsicherheiten bestehen jedoch fort

Die Umsetzung der europäischen NIS2-Richtlinie bleibt für viele Unternehmen eine Herausforderung. Zwar gewährt das Bundesamt für Sicherheit in der Informationstechnik (BSI) faktisch eine weitere Frist: Unternehmen und insbesondere Konzerne, bei denen noch nicht abschließend geklärt ist, welche Gesellschaften in den Anwendungsbereich von NIS2 fallen, sollen ihre offenen Fragen bis zum 30. September 2026 klären und ausstehende Registrierungen nachholen. Gleichzeitig weist das BSI darauf hin, dass bei weiterhin ausbleibender Registrierung Zwangsgelder und Bußgeldverfahren in Betracht kommen.

Die ursprüngliche Registrierungsfrist war bereits der 6. März 2026. Dennoch hatte sich zuletzt noch rund ein Drittel der geschätzten 29.850 betroffenen Unternehmen nicht registriert. Wie viele Unternehmen tatsächlich unter die neuen Vorgaben fallen, ist weiterhin nicht abschließend geklärt. Eine Aktualisierung der Zahlen durch das Statistische Bundesamt wird im Herbst erwartet.

Komplexe Betroffenheitsprüfung sorgt weiterhin für Unsicherheit

Ein wesentlicher Grund für die schleppende Umsetzung liegt in der Komplexität der Betroffenheitsprüfung. Unternehmen berichten weiterhin von offenen Fragen bei der Abgrenzung einzelner rechtlicher Einheiten, der Zuordnung zu den erfassten Wirtschaftszweigen und der Anwendung gesetzlicher Schwellenwerte. Besonders herausfordernd ist dies für Unternehmensgruppen, bei denen geklärt werden muss, wann Mitarbeiter- und Umsatzzahlen verbundener Unternehmen bei der Prüfung berücksichtigt werden müssen.

Auch bei der Einordnung nach Wirtschaftszweigen bestehen praktische Schwierigkeiten. Der Wirtschaftsrat weist beispielsweise darauf hin, dass die Zuordnung anhand der Wirtschaftszweigklassifikation bei Unternehmen mit Mischtätigkeiten nicht immer eindeutig ist.

Damit zeigt sich: Die Frage, ob ein Unternehmen unter NIS2 fällt, ist in der Praxis teilweise ebenso anspruchsvoll wie die spätere Umsetzung der konkreten Cybersicherheitsanforderungen.

Auch das Registrierungsportal steht in der Kritik

Neben den rechtlichen Fragen bereitet auch die praktische Registrierung Schwierigkeiten. Nach Angaben des BDI ist das BSI-Portal teilweise nicht optimal mit den bestehenden ELSTER-Prozessen abgestimmt. Das BSI empfiehlt Unternehmen, die sich bis Ende September registrieren, deshalb nachdrücklich, bereits jetzt das erforderliche ELSTER-Organisationszertifikat zu beantragen.

Für Unternehmensgruppen kommt ein weiterer erheblicher Aufwand hinzu: Derzeit muss jede einzelne Gesellschaft separat registriert werden. Eine zentrale Registrierung oder Sammelmeldung für mehrere Gesellschaften ist nicht vorgesehen.

Kritisch ist zudem, dass das Portal bei der Registrierung den Eindruck vermitteln kann, die Betroffenheit werde anhand der eingegebenen Unternehmensdaten abschließend und verlässlich bestimmt. Tatsächlich werden wichtige rechtliche Fallstricke – etwa die Zurechnung von Kennzahlen verbundener Unternehmen oder bestimmte Ausnahmeregelungen – nicht vollständig abgebildet. Unternehmen müssen daher bereits vor der Registrierung eine detaillierte rechtliche Prüfung vornehmen.

Wirtschaft braucht Klarheit und einen praxistauglichen Vollzug

Das BSI zeigt mit der faktischen Verlängerung bis zum 30. September zwar Pragmatismus und reagiert damit auf die bestehenden Umsetzungsprobleme. Eine dauerhafte Lösung kann die wiederholte Verlängerung informeller Fristen jedoch nicht sein.

Für Unternehmen bedeutet die aktuelle Situation eine schwierige Gemengelage: Einerseits bestehen weiterhin offene Fragen zur Betroffenheit und zur konkreten Anwendung der gesetzlichen Vorgaben. Andererseits stehen gleichzeitig mögliche Zwangs- und Bußgeldmaßnahmen im Raum.

Die Bundesfachkommission Cybersicherheit des Wirtschaftsrates fordert daher von Bundesregierung und zuständigen Behörden, die Unternehmen bei der NIS2-Umsetzung nicht mit komplexen Prüf- und Registrierungsprozessen allein zu lassen.

Notwendig sind insbesondere klare und rechtssichere Auslegungshinweise, eine praxistaugliche Weiterentwicklung des BSI-Registrierungsportals sowie eine deutliche Reduzierung des bürokratischen Aufwands für Unternehmensgruppen. Solange zentrale Fragen der Betroffenheit und der praktischen Umsetzung nicht eindeutig geklärt sind, muss zudem sichergestellt werden, dass Unternehmen aus berechtigten Unsicherheiten bei der Registrierung keine unverhältnismäßigen Sanktionen entstehen.