Ablauf der Registrierungsfrist: Deutlich weniger NIS2-Registrierungen als ursprünglich angenommen

Am vergangenen Freitag ist die NIS2-Registrierungsfrist in Deutschland abgelaufen. Breite offizielle Gesamtzahlen wurden rund um den Stichtag nicht umfassend kommuniziert; laut heise online sollen jedoch bisher nur rund 11.500 von etwa 29.500 erwarteten betroffenen Einrichtungen registriert sein.

Quelle: BSI: 11.500 kritische Einrichtungen unter NIS2 registriert (heise).

Wenn diese Größenordnung zutrifft, hat ein erheblicher Anteil potenziell betroffener Organisationen die NIS2-Registrierung beim BSI bislang nicht abgeschlossen - trotz de facto mehrmonatiger Umsetzungsphase. Das betrifft nicht nur die pure Registrierungspflicht, sondern auch Folgethemen wie Informationsaustausch bei Warnungen — und unter Umständen auch Cyberversicherungen, wenn Policen gesetzliche Pflichten in Obliegenheiten übersetzen.

Warum das mehr ist als ein Formalthema

Die Registrierung ist kein Randaspekt. Im NIS2-/BSIG-Rahmen bildet sie eine zentrale Voraussetzung für den strukturierten Austausch zwischen Unternehmen und Aufsicht, etwa bei Sicherheitswarnungen oder vorfallsbezogener Kommunikation.

Dass viele Organisationen dennoch zögern, ist zugleich nicht überraschend:

• der Anwendungsbereich im BSIG ist für viele Unternehmen in der Praxis schwer sauber abzugrenzen;
• in vielen Organisationen laufen juristische Einordnung und operative Umsetzung zeitlich auseinander;
• frühe Durchsetzungssignale wurden teils als zurückhaltend wahrgenommen, was kurzfristigen Druck mindern kann.

Das Risiko endet nicht beim Bußgeld

Selbst wenn Sanktionspraxis nicht sofort greift, sind wirtschaftliche Risiken bereits real:

• Cyberversicherung: Verweisklauseln können gesetzliche IT-Sicherheitsanforderungen zu vertraglichen Obliegenheiten machen; bei systematischer Vernachlässigung steigt das Deckungsrisiko im Schadenfall.
• Managerhaftung (D&O): Werden gesetzliche Pflichten dauerhaft nachrangig behandelt, kann die Frage pflichtgemäßer Unternehmensführung in den Vordergrund rücken.
• Operative Resilienz: Verspätete Registrierung geht oft mit unklaren Meldeverantwortlichkeiten und lückenhafter Nachweisfähigkeit einher.

Was Unternehmen jetzt konkret tun sollten

Aus Managementsicht ist jetzt entscheidend, juristische Unsicherheit in belastbare Verantwortungsstrukturen zu überführen:

1. Scope-Annahmen prüfen und begründet dokumentieren.
2. Verantwortliche für Registrierung, Meldung und Nachweisführung verbindlich benennen.
3. Kommunikationswege für Vorfälle intern und extern belastbar testen.
4. Personelle Umsetzungsengpässe priorisiert schließen.

Für die grundlegende Einordnung von Betroffenheit und Umsetzungsmechanik siehe auch unseren vertiefenden Beitrag: NIS2 in Unternehmen: Bin ich betroffen und was ist genau zu tun?.

Warum das ein Recruiting-Thema ist

In vielen Unternehmen ist nicht die Einsicht das Problem, sondern die Umsetzungskapazität. Programme geraten ins Stocken, wenn niemand rechtliche Anforderungen, Security-Betrieb und Management-Reporting belastbar zusammenführt.

Deshalb sollte NIS2-bezogenes Recruiting vor allem auf nachweisbare Lieferfähigkeit zielen - nicht nur auf Zertifikate oder formale Rollenbezeichnungen.

Fazit

Die Lage nach Fristablauf ist ein klares Handlungssignal: Wer auf spätere Durchsetzungsimpulse wartet, verlängert operative und versicherungsbezogene Risiken. Registrierung, Verantwortlichkeit und belastbare Nachweise sind jetzt Teil wirksamer Resilienzsteuerung.

Was nach dem Fristablauf oft konkret passiert

Viele Unternehmen erleben nach dem Stichtag ein ähnliches Muster. Zuerst entsteht Unsicherheit über den Scope. Danach folgen interne Abstimmungen zwischen Rechtsabteilung, IT, Security und Management. In dieser Phase wird viel diskutiert, aber oft noch wenig operativ umgesetzt.

Typische Folgen:

• Zuständigkeiten bleiben zunächst unklar,
• Meldewege sind nicht durchgängig dokumentiert,
• Nachweise liegen verteilt in mehreren Teams,
• kritische Entscheidungen werden vertagt.

Gerade dieses Zwischenstadium ist riskant. Es sieht nach Aktivität aus, ist aber häufig nicht belastbar genug für Vorfälle oder Aufsichtskommunikation.

Mindeststruktur für die ersten 30 Tage

Ein pragmatischer Start braucht keine große Reorganisation. Er braucht klare Verantwortlichkeit.

1) Scope-Entscheidung dokumentieren

• Welche Teile des Unternehmens wurden betrachtet?
• Welche Argumente führen zu „in scope“ oder „out of scope“?
• Wer trägt die Entscheidung fachlich und formal?

2) Rollen verbindlich zuweisen

• Owner für Registrierung,
• Owner für Vorfallmeldungen,
• Owner für Nachweise und Dokumentation.

3) Kommunikationskette testen

• Eskalation intern (Fachbereich, IT, Security, Management),
• externe Kommunikation (inkl. Ansprechpartner und Erreichbarkeit),
• Entscheidung, wer im Ereignisfall welche Freigaben erteilt.

4) Nachweislage aufräumen

• zentrale Ablage,
• klarer Dokumentationsstandard,
• definierte Aktualisierungszyklen.

Mit diesen vier Schritten entsteht in kurzer Zeit ein belastbarer Ausgangspunkt.

Warum die Versicherungsfrage früher relevant wird als gedacht

Viele Unternehmen verknüpfen das Thema Versicherung nur mit dem Schadenfall. Praktisch ist die Vorbereitung davor entscheidend. Wenn gesetzliche Sicherheitsanforderungen über Verweisklauseln Teil vertraglicher Obliegenheiten werden, zählt nicht die Absicht, sondern der nachweisbare Umsetzungsstand.

Das heißt nicht automatisch, dass Leistungen entfallen. Es heißt aber: Die Qualität der Dokumentation und Governance wird im Ernstfall viel wichtiger. Wer heute sauber strukturiert, senkt später Streit- und Interpretationsrisiken.

Recruiting-Perspektive: welche Profile jetzt Wirkung bringen

Nach Fristablauf suchen viele Unternehmen ähnliche Profile. Der Markt reagiert entsprechend eng. Besonders gefragt sind Rollen, die Regulierung, Security-Betrieb und Steuerung zusammenbringen.

Praxisnah priorisiert:

1. Sicherheitsverantwortung mit Governance-Kompetenz
   für klare Prioritäten, Reporting und belastbare Entscheidungswege.

2. Operative Security-Rollen mit Vorfallerfahrung
   für Meldelogik, Koordination und technische Umsetzung.

3. Schnittstellenprofile zwischen Fachbereich, IT und Security
   damit regulatorische Anforderungen nicht an Übergaben scheitern.

Wichtig ist die Reihenfolge. Nicht jede Vakanz ist gleich kritisch.

Häufige Fehlerbilder in NIS2-Projekten

Fehler 1: „Wir warten erst auf mehr Klarheit“

Warten reduziert kurzfristig Aufwand, erhöht aber mittelfristig Risiko. Regulatorische Themen werden nicht einfacher, wenn sie liegen bleiben.

Fehler 2: Zuständigkeit ohne Entscheidungsmacht

Wenn Rollen formal benannt sind, aber keine operative Autorität haben, stockt die Umsetzung.

Fehler 3: Nachweise als Nebenprodukt

Dokumentation „nebenbei“ führt fast immer zu Lücken. Nachweise müssen Teil des Tagesgeschäfts sein.

Fehler 4: Recruiting zu spät starten

Viele Unternehmen beginnen die Suche erst, wenn interne Lücken sichtbar eskalieren. Dann ist der Markt meist schon enger.

KPI-Set für Management und Aufsicht

Damit NIS2-Steuerung messbar wird, helfen wenige klare Kennzahlen:

• Anteil definierter und besetzter Schlüsselrollen,
• Zeit bis zur vollständigen Incident-Kommunikationskette,
• Aktualitätsgrad der zentralen Nachweise,
• Durchlaufzeit kritischer Sicherheitsentscheidungen,
• offene Abweichungen mit Frist und Owner.

Diese KPIs machen Fortschritt sichtbar und zeigen früh, wo nachgesteuert werden muss.

90-Tage-Fahrplan für Nachzügler

Tage 1 bis 30

• Scope finalisieren und dokumentieren,
• Rollen mit Verantwortlichkeit und Vertretung besetzen,
• Melde- und Eskalationsprozesse testen,
• Nachweisstruktur vereinheitlichen.

Tage 31 bis 60

• offene organisatorische Lücken schließen,
• kritische technische Maßnahmen priorisieren,
• Berichtswesen für Management stabilisieren,
• Recruiting für Engpassrollen aktivieren.

Tage 61 bis 90

• Wirksamkeit mit KPI-Set prüfen,
• Abweichungen mit Fristen hinterlegen,
• Verantwortlichkeiten nachschärfen,
• Regelbetrieb statt Projektmodus etablieren.

Der Fahrplan ist bewusst knapp. Das erhöht die Umsetzungswahrscheinlichkeit.

Verbindung zum Gesamtbild

NIS2-Readiness steht nicht isoliert. Sie greift direkt in Recruiting, Betriebsstabilität und Führungsverantwortung ein. Deshalb sollte sie mit den übrigen Security- und Talentthemen verzahnt betrachtet werden:

• NIS2 in Unternehmen: Bin ich betroffen und was ist genau zu tun?
• IT-Fachkräftemarkt 2026: Was das für KRITIS-Recruiting konkret bedeutet
• IEC 62443 im Recruiting: Warum Industrial-Cybersecurity-Profile 2026 besonders knapp sind

Schlussgedanke

Nach dem Fristablauf zählt weniger die Debatte über Vergangenheit, sondern die Qualität der nächsten Schritte. Unternehmen, die Scope, Zuständigkeit, Nachweise und Personalzugang jetzt sauber strukturieren, reduzieren Risiken schnell und sichtbar. Unternehmen, die weiter vertagen, erhöhen nicht nur regulatorische Unsicherheit, sondern vor allem operative Verwundbarkeit.

Management-Checkliste für das nächste Quartal

Für das nächste Quartal reicht eine klare Checkliste:

• Scope-Entscheidung ist dokumentiert und freigegeben,
• Schlüsselrollen sind benannt und möglichst besetzt,
• Meldewege wurden praktisch getestet,
• Nachweispflege läuft in einem festen Rhythmus,
• Recruiting-Engpässe sind im Management sichtbar.

Diese Checkliste verbindet Regulierung mit operativer Wirksamkeit.

Kommunikationsmodell für die Umsetzung

Viele NIS2-Projekte scheitern an Übergaben. Ein einfacher Takt hilft:

• wöchentliches Operativ-Update für Fortschritt und Hindernisse,
• monatliches Management-Review für Risiken und Entscheidungen,
• klarer Eskalationspfad bei kritischen Lücken.

So sinkt Reibung zwischen Rechtslage, Technik und Betrieb.

Fehlbesetzungen in NIS2-Rollen vermeiden

Zur Qualitätssteigerung im Recruiting sind praxisnahe Kriterien entscheidend:

• kann die Person jurische und operative Stakeholder zusammenführen,
• kann sie unter Zeitdruck belastbare Nachweise liefern,
• kann sie Maßnahmen nach Risiko priorisieren.

Diese Perspektive reduziert das Risiko formell passender, aber operativ schwacher Besetzungen.

Zusätzliche Einordnung aus offiziellen Quellen

Für die nächste Umsetzungsphase sind drei Quellen besonders nützlich:

• BSI: NIS-2 - Was tun?
• BSI: NIS-2-Pflichten
• ENISA: NIS Investments 2025

Das BSI beschreibt die Umsetzung bewusst als Sequenz: Betroffenheit prüfen, Verantwortlichkeiten festlegen, registrieren, Meldepflichten organisieren, Leitung schulen, Risikomaßnahmen verankern. Genau diese Reihenfolge passt auch operativ, weil sie aus unklarer Rechtslage in handhabbare Arbeitsschritte führt.

ENISA ergänzt die Marktperspektive: Viele Organisationen investieren in Technik und externe Leistungen, während interne Personalkapazität gleichzeitig ein Engpass bleibt. Für Unternehmen heißt das: Ohne gezielte Rollenbesetzung bleibt Umsetzung häufig hinter dem Ziel.

Regulatorik und Betrieb zusammenführen

In vielen Häusern laufen zwei Welten nebeneinander:

• Regulatorische Welt: Fristen, Pflichten, Nachweise.
• Betriebswelt: Systeme stabil halten, Vorfälle beherrschen, Teams steuern.

NIS2 wird erst dann wirksam, wenn beide Welten aufeinander abgestimmt sind. Praktisch bedeutet das:

1. rechtliche Anforderungen in konkrete Prozessschritte übersetzen,
2. je Prozessschritt einen Owner und eine Vertretung benennen,
3. Abhängigkeiten zu Incident- und BCM-Prozessen explizit dokumentieren.

So entsteht aus Pflichtkatalogen ein arbeitsfähiges Betriebsmodell.

Priorisierung der zehn BSI-Risikomaßnahmen

Nicht jedes Unternehmen kann alles gleichzeitig in voller Tiefe umsetzen. Für die ersten Monate ist eine Priorisierung sinnvoll:

Priorität A: sofortiger Wirkungsbeitrag

• Incident Response,
• Meldefähigkeit,
• klare Verantwortungs- und Eskalationsstruktur.

Priorität B: Stabilität im Regelbetrieb

• Risikoanalyse als laufender Prozess,
• Business Continuity und Wiederherstellung,
• Lieferkettenbezug in Sicherheitsentscheidungen.

Priorität C: dauerhafte Reife

• Wirksamkeitsmessung,
• Schulung und Sensibilisierung,
• kryptografische und Asset-bezogene Standards.

Damit wird aus „viel auf einmal“ ein realistischer Umsetzungspfad.

Welche Teams häufig unterschätzt werden

NIS2 ist nicht nur ein Thema für Security-Teams. Häufig unterschätzt werden:

• Einkauf (wegen Lieferkettenanforderungen),
• HR (wegen Pflichtschulungen und Rollenbesetzung),
• Kommunikation (wegen Vorfallkommunikation),
• interne Revision (wegen Nachweisqualität).

Wenn diese Bereiche früh eingebunden sind, sinken Reibung und Nacharbeiten deutlich.

Was gute Umsetzung nach 12 Monaten auszeichnet

Nach einem Jahr sollte NIS2 nicht mehr als Sonderprojekt laufen, sondern im Regelbetrieb angekommen sein. Messbar ist das an:

• stabiler Incident- und Meldekette,
• aktualisierten Nachweisen ohne Ad-hoc-Aktionismus,
• klarer Management-Sicht auf offene Risiken,
• geringer Abhängigkeit von Einzelpersonen.

Dieser Zustand ist erreichbar, wenn Unternehmen nicht nur auf Fristen reagieren, sondern Fähigkeiten systematisch aufbauen.

Praktische Szenarien für die interne Reifeprüfung

Eine belastbare NIS2-Umsetzung zeigt sich erst in realitätsnahen Tests. Drei kurze Szenarien reichen oft für eine erste Reifeprüfung:

1. Meldeszenario: Ein sicherheitsrelevanter Vorfall tritt am Freitagabend auf.
   Frage: Wer entscheidet, wer meldet, wer dokumentiert, wer informiert die Leitung?

2. Lieferkettenszenario: Ein zentraler Dienstleister meldet eine kritische Schwachstelle.
   Frage: Wie schnell wird intern bewertet, priorisiert und nachgesteuert?

3. Nachweisszenario: Bei einer kurzfristigen Prüfung fehlen zwei Kernnachweise.
   Frage: Wer kann die Lücke schließen, in welchem Format, in welcher Frist?

Solche Übungen machen Umsetzungslücken sichtbar, bevor sie im Ernstfall teuer werden.

Rollenbesetzung: intern entwickeln oder extern suchen?

Nicht jede Lücke braucht sofort externe Besetzung. Eine pragmatische Entscheidungshilfe:

• Intern entwickeln, wenn Grundlagen vorhanden sind und Zeit für Mentoring besteht.
• Extern suchen, wenn Rollen sofort wirksam sein müssen oder stark spezialisierte Erfahrung fehlt.
• Kombinieren, wenn kurzfristige Stabilisierung und mittelfristiger Aufbau parallel laufen sollen.

Diese Abwägung reduziert Überreaktionen und erhöht die Nachhaltigkeit im Team.

Was die Geschäftsleitung monatlich sehen sollte

Um NIS2 nicht im Projektmodus zu verlieren, genügt ein kompaktes Monatsbild:

• Status der Top-Risiken,
• offene regulatorische Abweichungen mit Frist,
• Besetzungsstand kritischer Rollen,
• Qualität der Nachweise,
• Entscheidungspunkte für das nächste Monat.

Mit diesem Format bleibt NIS2 steuerbar, ohne zusätzliche Berichtsbürokratie aufzubauen.

Abschluss

Die Registrierungsfrist war nur ein Startsignal. Entscheidend ist jetzt die dauerhafte Umsetzungsfähigkeit. Wer Rollen, Prozesse und Nachweise als zusammenhängendes System führt, gewinnt nicht nur regulatorische Sicherheit, sondern vor allem operative Stabilität.

Was Unternehmen jetzt nicht tun sollten

Drei Muster erhöhen das Risiko unnötig:

1. NIS2 nur als Rechtsprojekt behandeln und operative Teams zu spät einbinden.
2. Rollen formal benennen, aber ohne echte Entscheidungsmacht.
3. Nachweise erst kurz vor Prüfungen zusammentragen.

Diese Muster führen fast immer zu Zeitdruck, Reibung und Qualitätslücken.

Nachhaltigkeit statt Fristmodus

Ein dauerhaft tragfähiges Modell besteht aus wiederkehrenden Routinen:

• regelmäßige Risiko- und Maßnahmenreviews,
• periodische Tests von Melde- und Eskalationswegen,
• kontinuierliche Schulung relevanter Schlüsselrollen,
• klarer Verbesserungsprozess nach Vorfällen und Übungen.

Damit wird NIS2 von einer Fristreaktion zu einem stabilen Sicherheitsbaustein.

Kompakte Umsetzungs-Checkliste

Für die nächsten Monate hilft eine knappe Checkliste:

• Scope, Verantwortlichkeit und Vertretung sind dokumentiert.
• Melde- und Eskalationswege wurden praktisch geübt.
• Nachweise sind zentral und aktuell verfügbar.
• Führungskräfte-Schulung ist geplant und terminiert.
• Engpassrollen haben einen klaren Besetzungsplan.

Diese Punkte schaffen eine belastbare Mindestbasis.

Ergebnisorientierte Ziele statt Projektfloskeln

Statt allgemeiner Ziele wie „NIS2 umsetzen“ sind konkrete Ziele wirksamer:

• „Meldefähigkeit innerhalb definierter Fristen nachweisbar herstellen“,
• „Top-Risiken mit Owner, Frist und Status monatlich steuern“,
• „kritische Rollen mit Vertretung innerhalb des Quartals absichern“.

Konkrete Ziele erhöhen Geschwindigkeit, weil alle Beteiligten dasselbe Ergebnisbild haben.

Für die nächste Stufe von der Einordnung zur Besetzung kritischer Rollen: Cybersecurity Recruiting.