¶ Registrierung und Aktualisierung
Beispielverfahren: Diese Seite beschreibt ein übertragbares Arbeitsverfahren. Sie enthält keine reale Registrierung, BSI-Kennung, Behördenbestätigung oder Feststellung, dass eine bestimmte Organisation unter das BSIG fällt.
Aktueller Portalhinweis: Nach Information des BSI erfolgt die Registrierung gemäß NIS2 ausschließlich über das BSI-Portal. Betreiber kritischer Anlagen und Bundesbehörden nutzen in der Übergangsphase vorrangig weiterhin das Melde- und Informationsportal (MIP). Der amtlich vorgesehene Weg ist vor jeder realen Übermittlung erneut zu prüfen.
Die Registrierung ist kein einmaliges Formularprojekt. Sie verbindet die rechtliche Einstufung einer Einrichtung mit geprüften Unternehmens-, Kontakt-, Sektor- und Dienstdaten. Danach müssen registrierte Angaben aktiv überwacht und fristgerecht aktualisiert werden. Ein belastbarer Prozess beantwortet daher nicht nur die Frage „Wer trägt die Daten ein?“, sondern auch: Wann begann die Frist, welcher Rechtsträger ist betroffen, wer bestätigt die Angaben, welche Änderung löst eine Nachmeldung aus und wo wird der Nachweis geschützt aufbewahrt?
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MA-01-07 |
| Dokumentenart | Registrierungs- und Aktualisierungsverfahren |
| Wiki.js-Pfad | /NIS2/01-Governance-und-Geschaeftsleitung/Registrierung-und-Aktualisierung |
| Verantwortlich | Geschäftsleitung / NIS2-Koordination / Recht oder Compliance |
| Mitwirkende Rollen | Unternehmensentwicklung, IT, Netzbetrieb, Datenschutz, betroffene Dienstverantwortliche |
| Status | Entwurf – keine reale Registrierung oder Fristerfüllung bestätigt |
| Version / Stand | 0.3 / 09.08.2026 |
| Schutzklasse | Vertraulich; öffentliche Seite enthält nur Methodik und Musterfelder |
| Rechtsbezug | Insbesondere §§ 28, 33, 34 und 60 BSIG; bei kritischen Anlagen zusätzlich KRITIS-spezifische Vorgaben |
| Prüfanlass | Erstbewertung, Änderung der Einstufung oder Pflichtangaben, Behördenhinweis, mindestens jährlicher Kontrollabgleich |
Von der Einstufungsentscheidung über die fristgerechte Registrierung bis zum kontrollierten Änderungsnachweis. Eigene redaktionelle SVG-Grafik; zum Vergrößern öffnen.
¶ 1. Ziel und Ergebnis des Verfahrens
Das Verfahren soll sicherstellen, dass eine registrierungspflichtige Einrichtung
- rechtzeitig als eigener Rechtsträger und mit der zutreffenden Einrichtungsart erfasst wird,
- den maßgeblichen gesetzlichen Fristbeginn nachvollziehbar bestimmt,
- nur geprüfte, vollständige und freigegebene Angaben übermittelt,
- den jeweils amtlich vorgesehenen Portal- oder Meldeweg verwendet,
- die Übermittlung und behördliche Rückmeldungen beweissicher dokumentiert,
- Änderungen der registrierten Angaben frühzeitig erkennt und fristgerecht nachführt sowie
- Registrierung, Geltungsbereich, relevante Dienste, Aufsichtsbehörden und interne Register konsistent hält.
Als Ergebnis entsteht eine geschützte Registrierungsakte. Sie enthält mindestens die Einstufungsentscheidung, Fristenberechnung, verwendete Datenfassung, fachliche Prüfung, Freigabe, Übermittlungsnachweis, Behördenreferenz und spätere Änderungen. Das öffentliche Wiki verweist lediglich auf diese Akte; es speichert keine Zugangsdaten, detaillierten öffentlichen IP-Adressbereiche oder vertraulichen Behördennachrichten.
¶ 2. Zuerst den richtigen Rechtsfall bestimmen
Vor jeder Registrierung wird dokumentiert, welche Vorschrift und welcher Verfahrensweg gelten. Die Fallunterscheidung verhindert, dass Fristen oder Datenfelder verschiedener Regime miteinander vermischt werden.
| Prüffall | Maßgeblicher Ausgangspunkt | Grundfrist | Aktualisierung |
|---|---|---|---|
| besonders wichtige oder wichtige Einrichtung | § 33 Absatz 1 BSIG | spätestens drei Monate nach erstmaliger oder erneuter Einstufung | unverzüglich, spätestens binnen zwei Wochen ab Kenntnis der Änderung |
| Domain-Name-Registry-Dienstleister | § 33 Absatz 1 BSIG | spätestens drei Monate nach Beginn beziehungsweise erneuter Einordnung | unverzüglich, spätestens binnen zwei Wochen ab Kenntnis |
| besondere Einrichtungsart nach § 60 Absatz 1 Satz 1 | § 34 in Verbindung mit § 60 BSIG | spätestens drei Monate nach Eintritt der Eigenschaft | unverzüglich, spätestens innerhalb von drei Monaten ab Eintritt der Änderung |
| Betreiber kritischer Anlagen | § 33 Absatz 2 BSIG und KRITIS-Regelungen | gesondert zu bestimmen | nach einschlägigem KRITIS-Verfahren |
| Bundesbehörde oder sektoral besonders regulierte Einrichtung | BSIG und anwendbare Spezialvorschriften | gesondert zu bestimmen | gesondert zu bestimmen |
Die Tabelle ist eine Arbeitshilfe, keine abschließende Rechtsbewertung. Wenn mehrere Eigenschaften zusammentreffen, wird nicht vorschnell nur ein Weg gewählt. Recht oder Compliance hält fest, ob mehrere Registrierungen, zusätzliche Angaben oder eine Abstimmung mit zuständigen Stellen erforderlich sind.
¶ 3. Fristbeginn nachvollziehbar festlegen
Die Dreimonatsfrist beginnt nicht automatisch mit dem Tag, an dem jemand intern erstmals von NIS2 spricht. Maßgeblich ist, wann der Rechtsträger erstmals oder erneut die gesetzlichen Voraussetzungen erfüllt beziehungsweise die betreffende Dienstleistung anbietet. Dafür werden insbesondere geprüft:
- Einrichtungsart und Sektor nach den Anlagen 1 und 2 zum BSIG,
- Mitarbeiterzahl sowie Umsatz- und Bilanzwerte einschließlich erforderlicher Verbundbetrachtung,
- Aufnahme, Erwerb, Veräußerung oder wesentliche Änderung relevanter Dienste,
- Umwandlung, Verschmelzung oder Neugründung eines Rechtsträgers,
- besondere Schwellen- oder Einordnungstatbestände sowie
- bei § 60 BSIG die Hauptniederlassung in der Europäischen Union oder ein benannter Vertreter.
Im Fristenregister stehen mindestens auslösendes Ereignis, Datum des Eintritts, Datum der internen Kenntnis, Rechtsgrundlage, Begründung, gesetzliches Fristende, interne Vorfrist, Owner und Freigabestatus. Bei Unsicherheit wird die Annahme kenntlich gemacht und fachkundig geklärt. Eine spätere Korrektur überschreibt die ursprüngliche Bewertung nicht; sie wird versioniert.
¶ Interne Vorfristen
Die Organisation legt kürzere interne Termine fest. Ein mögliches Muster ist:
| Zeitpunkt ab bestätigtem Fristbeginn | Arbeitsergebnis |
|---|---|
| innerhalb 5 Arbeitstagen | Fristenakte angelegt, Verantwortliche und Stellvertretung benannt |
| innerhalb 15 Arbeitstagen | Pflichtdaten und Quelleninhaber vollständig identifiziert |
| innerhalb 30 Arbeitstagen | Datenfassung plausibilisiert, offene Abweichungen eskaliert |
| spätestens 20 Arbeitstage vor gesetzlichem Fristende | fachliche und rechtliche Prüfung abgeschlossen |
| spätestens 10 Arbeitstage vor gesetzlichem Fristende | Freigabe und Portalberechtigung bestätigt |
| spätestens 5 Arbeitstage vor gesetzlichem Fristende | Übermittlung und Nachweissicherung abgeschlossen |
Diese Vorfristen müssen an Organisation und Komplexität angepasst werden. Sie ersetzen nicht die gesetzliche Frist.
¶ 4. Aktueller Portalweg: BSI-Portal und MIP unterscheiden
Das BSI weist derzeit darauf hin, dass die NIS2-Registrierung ausschließlich über das BSI-Portal erfolgt und nicht über das MIP. Im BSI-Portal können registrierte Unternehmen und Behörden anschließend auch Sicherheitsvorfälle melden. Betreiber kritischer Anlagen und Bundesbehörden sollen während der Übergangsphase vorrangig weiterhin das MIP nutzen; eine identische Meldung muss nicht zusätzlich über das BSI-Portal abgegeben werden.
Vor einer Einreichung dokumentiert die NIS2-Koordination daher:
- Datum des Abrufs der amtlichen Portalinformation,
- betroffene Einrichtung und Registrierungsgrundlage,
- verwendetes Portal einschließlich vollständiger Internetadresse,
- zuständige Organisation oder Behörde,
- berechtigte einreichende und stellvertretende Person,
- gegebenenfalls abweichende sektorale oder KRITIS-Anweisung.
Portaladressen werden nicht aus alten Lesezeichen, E-Mails oder Suchmaschinenanzeigen übernommen. Ausgangspunkt ist eine amtliche BSI-Seite. Bei widersprüchlichen Angaben wird vor der Übermittlung über eine verifizierte Kontaktstelle geklärt, welcher Weg gilt.
¶ 5. Pflichtangaben nach § 33 Absatz 1 BSIG
Für besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister umfasst § 33 Absatz 1 insbesondere folgende Angaben:
| Pflichtfeld | Arbeitsdefinition und Prüfung | Führende Quelle / Owner |
|---|---|---|
| Name und Rechtsform | vollständige rechtliche Bezeichnung; keine bloße Marke oder Konzernbezeichnung | Handelsregister, Gesellschaftsunterlagen / Recht |
| Handelsregisternummer | soweit einschlägig mit Registergericht und aktueller Schreibweise plausibilisieren | Registerauszug / Recht |
| Anschrift | Sitz beziehungsweise zutreffende Organisationsanschrift; Abweichungen zu Betriebsstätten klären | Unternehmensstammdaten / Verwaltung |
| E-Mail-Adresse und Telefonnummern | überwachte Funktionskontakte, Erreichbarkeit und Vertretung testen | Kontaktregister / NIS2-Koordination |
| öffentliche IP-Adressbereiche | aktuelle, tatsächlich zugeordnete Bereiche; Cloud-, Hosting- und Providerkonstellationen abgrenzen | IP-/Netzregister / IT oder Netzbetrieb |
| Sektor und gegebenenfalls Branche | genaue Zuordnung zu Anlage 1 oder 2, nicht nur allgemeine Branchenbeschreibung | Einstufungsakte / Recht oder Compliance |
| EU-Mitgliedstaaten | Staaten, in denen Dienste der maßgeblichen Einrichtungsart erbracht werden | Dienstekatalog, Vertrags- und Vertriebsdaten / Business Owner |
| zuständige Aufsichtsbehörden | Bundes- und Landesbehörden bezogen auf die registrierungsauslösenden Tätigkeiten | Rechtskataster und Behördenregister / Compliance |
Besonders die öffentlichen IP-Adressbereiche dürfen nicht aus einer unvollständigen Einzelabfrage abgeleitet werden. Zu prüfen sind unter anderem eigene Netze, Providerzuweisungen, Rechenzentren, Cloud-Dienste, ausgelagerte Internetzugänge, Sicherheitsdienstleister und Veränderungen durch Migrationen. Dokumentiert wird außerdem, ob ein Bereich im Namen der Einrichtung geführt, nur technisch genutzt oder einem Dienstleister zugeordnet ist.
¶ 6. Besondere Registrierung nach §§ 34 und 60 BSIG
§ 34 gilt für die in § 60 Absatz 1 Satz 1 genannten Einrichtungsarten. Dazu zählen unter anderem DNS-Diensteanbieter, Top-Level-Domain-Registries, Domain-Name-Registry-Dienstleister, Cloud-Computing- und Rechenzentrumsdienste, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Anbieter bestimmter Online-Plattformen.
Für diese Fallgruppe werden zusätzlich beziehungsweise abweichend insbesondere erfasst:
- einschlägiger Sektor, Branche und Einrichtungsart nach Anlage 1,
- Hauptniederlassung in der Europäischen Union und weitere EU-Niederlassungen,
- bei fehlender EU-Niederlassung der benannte Vertreter,
- aktuelle Kontaktdaten der Einrichtung und erforderlichenfalls des Vertreters,
- alle EU-Mitgliedstaaten, in denen Dienste erbracht werden, sowie
- öffentliche IP-Adressbereiche.
Die Bestimmung der Hauptniederlassung richtet sich nicht allein nach dem gesellschaftsrechtlichen Sitz. § 60 stellt zunächst darauf ab, wo Entscheidungen über Cybersicherheitsrisikomanagementmaßnahmen überwiegend getroffen werden. Sind weitere Auffangregeln oder ein Vertreter maßgeblich, wird dies gesondert begründet. Für Änderungen nach § 34 gilt eine andere Höchstfrist als nach § 33; das Register muss deshalb das konkrete Rechtsregime je Datensatz anzeigen.
¶ 7. Rollen und Vier-Augen-Freigabe
| Rolle | Kernaufgabe | Darf nicht allein entscheiden über |
|---|---|---|
| Geschäftsleitung | Ressourcen, Verantwortlichkeiten und verbindliche Freigaberegeln festlegen; wesentliche Unklarheiten entscheiden | technische Richtigkeit einzelner IP-Bereiche ohne Fachprüfung |
| NIS2-Koordination | Verfahren steuern, Fristen führen, Datenfassung konsolidieren, Rückfragen verfolgen | ungeklärte rechtliche Einordnung |
| Recht / Compliance | Rechtsfall, Rechtsträger, Sektor, Einrichtungsart, Zuständigkeiten und Fristlogik prüfen | technische Vollständigkeit der Netzangaben |
| IT / Netzbetrieb | öffentliche IP-Adressbereiche ermitteln, technische Änderungen melden | rechtliche Einstufung der Einrichtung |
| Dienstverantwortliche | relevante Dienste, EU-Leistungsorte und Änderungen bestätigen | endgültige Registrierungsfreigabe |
| Portaladministration | Konten, Rollen, Mehrfaktor-Authentisierung und Stellvertretung verwalten | inhaltliche Freigabe der Angaben |
| Datenschutz / Informationssicherheit | Schutzbedarf, Datenminimierung und sichere Nachweisablage prüfen | gesetzliche Betroffenheitsentscheidung allein |
| Interne Revision / Audit | Prozess und Stichproben unabhängig prüfen | operative Einreichung im eigenen Prüfbereich |
Mindestens eine fachlich prüfende und eine freigebende Person kontrollieren die endgültige Datenfassung. Portaladministration, Datenerstellung und Freigabe werden soweit praktikabel getrennt. Abwesenheiten dürfen die Fristerfüllung nicht gefährden; deshalb sind Stellvertretung, Notfallkontakt und Übergabe geregelt.
¶ 8. End-to-End-Ablauf
- Auslöser erfassen: neue Betroffenheit, erneute Einordnung oder Änderung einer registrierten Angabe melden.
- Rechtsfall bestätigen: § 33, § 34/§ 60, KRITIS- oder sektoraler Sonderweg bestimmen.
- Frist eröffnen: Fristbeginn, Kenntnisdatum, Fristende, Vorfristen, Owner und Stellvertretung registrieren.
- Rechtsträger abgrenzen: Konzern, Niederlassung, Marke, Betriebsstätte und registrierungspflichtige Einheit unterscheiden.
- Daten einsammeln: jedes Pflichtfeld aus einer benannten führenden Quelle übernehmen.
- Abweichungen klären: widersprüchliche Namen, Anschriften, Dienste, Länder, IP-Bereiche oder Behörden vor Freigabe bereinigen.
- Datenfassung einfrieren: eindeutige Versionsnummer, Prüfstichtag und Prüfsumme beziehungsweise geschützte Dateiablage festlegen.
- Vier-Augen-Prüfung durchführen: fachliche, rechtliche, technische und formale Prüfung protokollieren.
- Portalweg verifizieren: amtliche Information, Portaladresse, Mandant und Berechtigungen prüfen.
- Freigabe dokumentieren: Freigebende Person, Umfang, Datum und Bedingungen festhalten.
- Übermitteln: nur die freigegebene Fassung über den bestätigten Weg einreichen.
- Nachweis sichern: Zeitpunkt, Vorgangsnummer, Empfangsbestätigung, eingereichte Fassung und Portalstatus geschützt ablegen.
- Rückfragen bearbeiten: Verantwortliche und Frist bestimmen; Antworten erneut prüfen und versionieren.
- Register synchronisieren: Behörden-, Kontakt-, Dienste-, Rechts- und Fristenregister aktualisieren.
- Änderungsmonitoring aktivieren: datenführende Stellen und Ereignisgeber verbindlich anbinden.
¶ 9. Aufbau des Registrierungsregisters
Das Register ist die Steuerungsübersicht; vertrauliche Originale liegen in einer zugriffsgeschützten Ablage.
| Feld | Mindestinhalt |
|---|---|
| Registrierungs-ID | eindeutige interne Referenz |
| Rechtsträger | vollständiger Name, Rechtsform, Registerreferenz |
| Rechtsfall | § 33, § 34/§ 60, KRITIS oder Sondervorschrift |
| Einstufung | besonders wichtig, wichtig oder besondere Einrichtungsart; Referenz zur Entscheidungsakte |
| Auslöser | Ereignis, Eintrittsdatum, Kenntnisdatum und Quelle |
| Fristen | gesetzliches Ende, interne Vorfrist, Owner, Stellvertretung, Eskalationsstufe |
| Datenfassung | Versionsnummer, Stichtag, Speicherort, Prüfer und Freigabe |
| Portalweg | amtliche Quelle, Abrufdatum, Portal, Mandant und einreichende Rolle |
| Übermittlung | Datum/Uhrzeit, Status, Vorgangs- oder Empfangsreferenz |
| Rückfragen | Behörde, Eingang, Inhalt, Bearbeitungsfrist, Owner und Antwortstatus |
| Änderungen | Änderungsart, Kenntnisdatum, Rechtsregime, Frist, Nachmeldung und Bestätigung |
| Review | letzter Abgleich, Ergebnis, offene Differenzen und nächster Termin |
Zugriff auf technische Detailangaben und Behördenkommunikation erhalten nur berechtigte Rollen. Im Wiki erscheinen keine echten IP-Adressbereiche, Kontaktdaten einzelner Personen, Portalbenutzernamen, Zugangstoken oder nicht öffentliche Vorgangsnummern.
¶ 10. Konzern, mehrere Dienste und mehrere Rechtsträger
Eine zentrale Konzern-IT bedeutet nicht automatisch, dass nur die Muttergesellschaft registriert wird. Für jeden potenziell betroffenen Rechtsträger wird geprüft, welche Dienste er selbst anbietet, welche Schwellenwerte und Zurechnungsregeln gelten und in welchen Mitgliedstaaten er tätig ist. Gemeinsam genutzte technische Systeme werden der registrierungspflichtigen Einheit nachvollziehbar zugeordnet.
Bei mehreren relevanten Diensten wird eine Dienstematrix geführt:
| Prüffeld | Leitfrage |
|---|---|
| Rechtsträger | Wer erbringt die Leistung vertraglich und tatsächlich? |
| Einrichtungsart | Welcher Eintrag in Anlage 1 oder 2 passt? |
| Relevanter Dienst | Welche Leistung löst die Einordnung aus? |
| EU-Staaten | Wo wird genau dieser Dienst angeboten? |
| Systeme und IP-Bereiche | Welche technischen Ressourcen unterstützen ihn? |
| Aufsicht | Welche Bundes- oder Landesbehörde ist für diese Tätigkeit zuständig? |
Ungeklärte Zuordnungen werden als offene Rechts- oder Sachfrage dokumentiert; eine pragmatische Portalbezeichnung ersetzt keine belastbare Bewertung.
¶ 11. Portalzugang, Berechtigungen und Stellvertretung
Portalzugänge sind personenbezogen zuzuordnen und nach dem Minimalprinzip zu vergeben. Funktionspostfächer können für Benachrichtigungen sinnvoll sein, ersetzen aber keine nachvollziehbare Benutzerverwaltung. Für die operative Bereitschaft werden mindestens geregelt:
- registrierende, prüfende und administrierende Rollen,
- Mehrfaktor-Authentisierung und sichere Wiederherstellung,
- Eintritt, Rollenwechsel und Austritt von Beschäftigten,
- mindestens eine funktionsfähige Stellvertretung,
- regelmäßige Berechtigungsprüfung,
- geschützte Ablage von Wiederherstellungsinformationen,
- Überwachung amtlicher Portalnachrichten und
- Vorgehen bei gesperrtem oder nicht erreichbarem Zugang.
Vor Ablauf einer Frist wird nicht nur geprüft, ob ein Konto vorhanden ist, sondern ob Anmeldung, Mandantenzuordnung, erforderliche Rolle und Vertretung tatsächlich funktionieren. Ein Test darf keine unbeabsichtigte Echtmeldung auslösen.
¶ 12. Änderungsmonitoring als laufender Kontrollprozess
Nach der Erstregistrierung melden die datenführenden Stellen relevante Ereignisse unverzüglich an die NIS2-Koordination. Typische Auslöser sind:
- Änderung von Firma, Rechtsform, Registerdaten oder Anschrift,
- neue oder geänderte Funktionskontakte und Telefonnummern,
- Zuteilung, Rückgabe oder Migration öffentlicher IP-Adressbereiche,
- Aufnahme, Beendigung oder wesentliche Veränderung relevanter Dienste,
- Eintritt in oder Rückzug aus einem EU-Mitgliedstaat,
- Änderung von Sektor, Branche oder Einrichtungsart,
- Änderung der zuständigen Aufsichtsbehörde,
- neue Hauptniederlassung, EU-Niederlassung oder Vertretung nach § 60 BSIG,
- Umstrukturierung, Verschmelzung, Spaltung, Verkauf oder Erwerb eines Unternehmensbereichs.
Der Ereignisgeber meldet Datum, Beschreibung, betroffene Felder, Wirksamkeitsdatum und Belege. Die NIS2-Koordination bestimmt anschließend das Kenntnisdatum im Sinne der Fristensteuerung, den Rechtsfall und das späteste Nachmeldedatum. Die gesetzliche Höchstfrist wird nicht mit einem geplanten Jahresreview verwechselt.
Zusätzlich findet mindestens jährlich ein vollständiger Soll-Ist-Abgleich statt. Dieser ist eine Auffangkontrolle und entbindet die Fachbereiche nicht von anlassbezogenen Meldungen.
¶ 13. Umgang mit Portalstörung oder unklarem Meldeweg
Ist das amtliche Portal nicht erreichbar, werden mindestens Zeitpunkt, Dauer, URL, Fehlermeldung, Browser beziehungsweise technischer Kontext und erneute Versuche dokumentiert. Die Organisation prüft amtliche Status- oder Kontaktinformationen und eskaliert intern rechtzeitig vor Fristablauf.
Eine E-Mail, ein Screenshot oder eine Meldung über ein anderes Portal gilt nicht automatisch als fristwahrende Alternative. Ein abweichender Weg wird nur verwendet, wenn er durch eine zuständige amtliche Stelle vorgesehen oder im konkreten Fall bestätigt ist. Mündliche Hinweise werden mit Datum, Gesprächspartner, Inhalt und Rückbestätigung dokumentiert.
¶ 14. Übermittlungs- und Änderungsnachweise
Die geschützte Registrierungsakte enthält je Vorgang:
- Einstufungs- und Rechtsfallentscheidung,
- Fristenberechnung und interne Kontrolltermine,
- vollständige freigegebene Datenfassung,
- Quellen- und Plausibilisierungsnachweise,
- Prüf- und Freigabevermerk,
- Nachweis des amtlichen Portalwegs am Einreichungstag,
- Übermittlungszeitpunkt und sendende Rolle,
- Empfangsbestätigung, Vorgangsnummer oder Portalstatus,
- Behördenrückfragen, Antworten und Korrekturen,
- Änderungsbewertungen und spätere Nachmeldungen.
Screenshots sind nur ergänzende Nachweise. Sie können unvollständig sein, vertrauliche Daten enthalten oder den tatsächlich gesendeten Datensatz nicht eindeutig belegen. Maßgeblich ist daher eine strukturierte, versionierte Akte mit klarer Zuordnung zum Vorgang.
¶ 15. Abgleich mit abhängigen Registern
Nach Erstregistrierung und jeder Änderung werden mindestens folgende Informationsbestände abgeglichen:
| Informationsbestand | Kontrollfrage |
|---|---|
| Betroffenheits- und Einstufungsakte | Stimmen Rechtsträger, Einrichtungsart und Begründung noch überein? |
| Geltungsbereich und Dienstekatalog | Sind relevante Dienste und EU-Leistungsorte aktuell? |
| Rechts- und Behördenkataster | Sind Zuständigkeiten und Rechtsgrundlagen unverändert? |
| Standort- und Organisationsregister | Stimmen Anschrift, Niederlassungen und Organisationseinheiten? |
| IP-/Netzregister | Sind die gemeldeten öffentlichen Bereiche vollständig und aktuell? |
| Kontakt- und Eskalationslisten | Sind Funktionskontakte erreichbar und vertreten? |
| Vorfallmeldeverfahren | Kann die registrierte Einrichtung innerhalb der Meldefristen handeln? |
| Berechtigungsregister | Sind Portalrollen, Vertretung und Mehrfaktorzugang funktionsfähig? |
Abweichungen werden mit Owner und Termin geführt. Die Registrierungsakte gilt erst als aktuell, wenn notwendige Folgeänderungen in den abhängigen Registern abgeschlossen oder nachvollziehbar offen dokumentiert sind.
¶ 16. Kennzahlen und Managementinformation
Für die Steuerung eignen sich beispielsweise:
- Anteil vollständig freigegebener Pflichtfelder,
- Resttage bis zur gesetzlichen und internen Frist,
- Anzahl offener Datenabweichungen,
- durchschnittliche Zeit von Änderungskenntnis bis Bewertung,
- Anteil fristgerecht nachgeführter Änderungen,
- Alter der letzten vollständigen Registerabstimmung,
- Anzahl funktionsfähiger Portalvertretungen,
- offene Behördenrückfragen nach Fälligkeit.
Eine grüne Kennzahl bestätigt nur den definierten Kontrollpunkt. Sie beweist nicht automatisch die Rechtskonformität oder Wirksamkeit des Gesamtverfahrens. Überfällige Registrierungen, drohende Fristverletzungen und ungeklärte Rechtsfälle werden unabhängig von Schwellenwerten an die Geschäftsleitung eskaliert.
¶ 17. Muster für einen Registereintrag
| Feld | Musterwert |
|---|---|
| Registrierungs-ID | NIS2-REG-MUSTER-001 |
| Rechtsträger | Muster GmbH – nur Beispieldatensatz |
| Rechtsfall | § 33 Absatz 1 BSIG – fachliche Bestätigung ausstehend |
| Auslöser / Datum | Schwellenprüfung zum 01.08.2026 – nicht real |
| Gesetzliches Fristende | noch zu berechnen und freizugeben |
| Datenfassung | V0.1 – unvollständig |
| Offene Felder | EU-Mitgliedstaaten, IP-Abgrenzung, Aufsichtsbehörden |
| Prüfer / Freigabe | nicht benannt / ausstehend |
| Übermittlung | nicht erfolgt |
| Nächster Schritt | Rechtsfall und Fristbeginn fachkundig bestätigen |
Der Musterwert darf nicht als Nachweis einer tatsächlichen Registrierung übernommen werden.
¶ 18. Häufige Fehler und Gegenmaßnahmen
| Fehler | Risiko | Gegenmaßnahme |
|---|---|---|
| Konzernname statt registrierungspflichtigem Rechtsträger | falsche oder unklare Registrierung | Rechtsträger je Dienst und Vertrag bestimmen |
| Fristbeginn nur geschätzt | verspätete Einreichung | Ereignis, Datum, Quelle und Rechtsbegründung dokumentieren |
| BSI-Portal und MIP verwechselt | Übermittlung über unzutreffenden Weg | aktuellen amtlichen Portalhinweis am Einreichungstag sichern |
| IP-Bereiche aus nur einer Quelle | unvollständige technische Angaben | Netz-, Provider-, Cloud- und Dienstleisterdaten abgleichen |
| persönliche Einzeladresse ohne Vertretung | Behördennachricht bleibt unbearbeitet | überwachte Funktionskontakte und Stellvertretung testen |
| § 33- und § 34-Änderungsfrist vermischt | Fristverletzung | Rechtsregime je Registereintrag kennzeichnen |
| Screenshot als einziger Nachweis | Inhalt und Versand nicht eindeutig | freigegebene Datenfassung plus Empfangsreferenz sichern |
| Jahresreview ersetzt Ereignismeldung | Änderung wird zu spät erkannt | verbindliche Änderungsgeber in Fachprozessen benennen |
| alte Benutzerkonten bleiben aktiv | unberechtigter Portalzugriff | Joiner-Mover-Leaver-Prozess und Berechtigungsreview anwenden |
¶ 19. Qualitätscheck vor der Freigabe
- Ist die Betroffenheit je Rechtsträger nachvollziehbar entschieden?
- Ist der Fall § 33, § 34/§ 60, KRITIS oder Spezialregulierung eindeutig bestimmt?
- Sind Fristbeginn, Kenntnisdatum, Rechtsquelle und Fristende dokumentiert?
- Stimmen Name, Rechtsform, Registernummer und Anschrift mit führenden Quellen überein?
- Sind Sektor, Branche, Einrichtungsart und relevante Dienste begründet?
- Sind EU-Mitgliedstaaten und zuständige Aufsichtsbehörden vollständig?
- Sind öffentliche IP-Adressbereiche fachlich abgegrenzt und freigegeben?
- Wurde der amtliche Portalweg am Tag der Einreichung erneut geprüft?
- Funktionieren Portalzugang, Mehrfaktor-Authentisierung und Stellvertretung?
- Liegen Vier-Augen-Prüfung und inhaltliche Freigabe für genau diese Datenfassung vor?
- Sind Übermittlungsnachweis, Behördenreferenz und offene Rückfragen geschützt abgelegt?
- Sind Änderungsgeber, interne Vorfristen, Eskalation und jährlicher Vollabgleich eingerichtet?
- Enthält die öffentliche Wiki-Seite keine vertraulichen Echtangaben?
¶ 20. Offene Punkte vor organisationsbezogener Freigabe
- Betroffenheits- und Einstufungsentscheidung je Rechtsträger genehmigen,
- anwendbaren Registrierungsfall und Portalweg bestätigen,
- Fristbeginn und interne Vorfristen fachkundig festlegen,
- Pflichtfelder, führende Quellen und Datenverantwortliche benennen,
- öffentliche IP-Adressbereiche vollständig ermitteln und schützen,
- Aufsichtsbehörden und EU-Leistungsorte bestätigen,
- Portalrollen, Mehrfaktorzugang und Stellvertretung funktionsfähig einrichten,
- Registrierungsakte und Aufbewahrungsregel festlegen,
- Änderungsgeber in HR-, Rechts-, IT-, Netzwerk- und Dienstprozessen verankern,
- Kontrolllauf ohne unbeabsichtigte Echtmeldung durchführen.
¶ 21. Verknüpfte Seiten im Wiki
- Betroffenheits- und Einstufungsprüfung
- Geltungsbereich und relevante Dienste
- Behörden und Kontaktstellen
- Pflichten der Geschäftsleitung
- Rollen und Verantwortlichkeiten
- Relevante Dienste und Prozesse
- Melderegister und Fristenkontrolle
- Rechts- und Vertragskataster
- Kontakt- und Eskalationslisten
¶ 22. Amtliche Grundlagen und Portale
Die folgenden externen Links öffnen in einem neuen Tab. Vor einer realen Registrierung sind Veröffentlichungsstand und Zuständigkeit erneut zu prüfen.
- § 33 BSIG – Registrierungspflicht
- § 34 BSIG – besondere Registrierungspflicht
- § 60 BSIG – zentrale EU-Zuständigkeit für bestimmte Einrichtungsarten
- § 28 BSIG – besonders wichtige und wichtige Einrichtungen
- BSI – aktuelle Information zur NIS2-Registrierung und Portalzuordnung
- BSI-Portal – Registrierung und Meldungen
- BSI/BBK – Übersicht der Meldestellen im MIP
¶ 23. Weiterführende Unterstützung durch SMCT-Management
SMCT-Management unterstützt bei Betroffenheitsprüfung, Rollenmodell, Registeraufbau, Fristensteuerung und der Einbindung in ein bestehendes ISMS. Informationen zur NIS2-Beratung öffnen.
¶ 24. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.3 | 09.08.2026 | Rechtsfälle nach §§ 33, 34 und 60 getrennt; aktueller BSI-Portalweg, Pflichtdatenkatalog, Fristenlogik, Rollen, End-to-End-Ablauf, Änderungsmonitoring, Nachweise, Kennzahlen und Qualitätskontrollen umfassend ergänzt | Ausstehend |
| 0.2 | 08.08.2026 | Verantwortlichkeiten, Datenprüfung, Einreichungsnachweis, Änderungs- und Fristensteuerung fachlich vertieft | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren mit Registrierungs- und Aktualisierungsregister erstellt | Ausstehend |