Eine Frist, die nie wirklich eine Frist war

Das deutsche NIS2-Umsetzungsgesetz, das BSI-Gesetz (BSIG), trat am 6. Dezember 2025 in Kraft und verpflichtete rund 29.500 Unternehmen und Behörden aus Energie, Gesundheit, Verkehr und digitaler Infrastruktur, sich bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik zu registrieren. Das BSI-Portal öffnete im Januar 2026, doch zur gesetzlichen Frist hatte nur ein Bruchteil registriert. Angesichts einer aus eigener Sicht zu niedrigen Erfüllungsquote kündigte das BSI an, verspätete Registrierungen bis zum 31. Juli 2026 zu akzeptieren und bis dahin auf Sanktionen zu verzichten - eine Gnadenfrist, kein neues gesetzliches Datum.

Die offizielle Zählseite des BSI, 'NIS-2 in Zahlen', nannte zum 30. Juni 2026 genau 17.729 registrierte Einrichtungen, aufgeteilt in 11.501 'wichtige' und 6.215 'besonders wichtige' Einrichtungen, darunter 1.342 ausgewiesene KRITIS-Betreiber. Unabhängige Fach- und Rechtsberichte, die sich auf die BSI-Zahlen zum Fristende beziehen, sprechen von rund 18.500 bis 19.000 Registrierungen nach Ablauf der Gnadenfrist - womit zwischen 10.500 und 11.800 erwarteten Einrichtungen, fast ein Drittel, beim Auslaufen der Zurückhaltung weiterhin fehlten.

Das Paradox der Stadtwerke

Der VKU, der Verband der kommunalen Unternehmen, erklärte gegenüber der Fachpresse, die Registrierungslücke in seiner Branche sei keine Geschichte der Ignoranz. Seine Position: 'Die komplexe Zugehörigkeitsanalyse, gerade bei Mehrspartenunternehmen, ist unserer Ansicht nach der Hauptgrund für die geringen Registrierungszahlen', ergänzt um den Hinweis, die Einstufungsprüfung sei 'so kompliziert, dass sie ohne externe fachanwaltliche Unterstützung kaum machbar ist'. Viele Stadtwerke sind gleichzeitig in Energie, Wasser, Abwasser und teils Telekommunikation tätig, und NIS2s Zugehörigkeitsprüfung zwingt jede dieser Sparten einzeln durch eine eigene Qualifikationsprüfung, bevor überhaupt eine Registrierung erfolgen kann.

Dieses Detail wiegt schwerer als eine bloße Erfüllungsquote. Ausgerechnet die Einrichtungen, die NIS2 zuerst schützen sollte - Netzbetreiber, Wasserversorger, Fernwärmenetze - stolpern strukturell am ehesten über die eigene Einstiegslogik des Gesetzes, gerade weil sie von Natur aus mehrere Sparten bedienen. Eine Lücke bei kleinen Einzelbranchen-Betrieben wäre ein Schulungsproblem; eine Lücke bei kommunalen Betreibern kritischer Infrastruktur ist ein Konstruktionsfehler im Zugang des Gesetzes selbst.

Der blinde Fleck von drei Monaten

Hier liegt, was die Berichterstattung zur Frist übersehen hat. Die eigene Zahlenseite des BSI erklärt, die nächste Aktualisierung sei 'voraussichtlich nicht vor dem 31. Oktober 2026' zu erwarten - die öffentliche Registrierungszählung der Behörde bleibt also genau für das Quartal unverändert, in dem ihre Sanktionszurückhaltung endete. Jede deutsche 'wichtige' oder 'besonders wichtige' Einrichtung trägt inzwischen rechtliche Lieferketten-Pflichten gegenüber eigenen Zulieferern, und jeder EU- oder UK-Geschäftspartner, der eine NIS2-nahe Sorgfaltsprüfung eines deutschen Lieferanten vornehmen will, hat keine aktuelle Quelle zur Prüfung - nur eine Momentaufnahme, die am Tag des Fristendes bereits sechs Wochen alt war und bis zur nächsten Aktualisierung fast vier Monate alt sein wird.

Da die Registrierung selbst nichts an der tatsächlichen Sicherheitslage einer Einrichtung ändert - sie ist ein bürokratisches Tor, keine technische Maßnahme -, haben Firmen mit dem meisten zu verlieren jeden Anreiz, jetzt still nachzuregistrieren, statt die Lücke öffentlich zu machen. Es ist zu erwarten, dass Deutschlands öffentliche Zahlen bis Ende Oktober deutlich besser aussehen, obwohl die dazwischenliegenden Monate eine ungezählte Menge exponierter Einrichtungen enthalten. Der praktische Rat für jedes Unternehmen, das auf einen deutschen Betreiber kritischer Infrastruktur oder digitaler Dienste angewiesen ist: Fordern Sie jetzt schriftlich eine BSIG-Registrierungsbestätigung an - nicht im November, wenn die eigene Zahl des BSI schon wieder veraltet ist.

Weiterlesen: 18 Jahre alter Cisco-Fehler: jetzt 3 Tage Frist  |  NIS2 macht deutsche Geschäftsleitungen persönlich für Cybersicherheit haftbar