Die Zahl der Unternehmen, Behörden und anderer per NIS2-Umsetzungsgesetz verpflichteten Stellen, die sich unter dem NIS2-Regime beim Bundesamt für Sicherheit in der Informationstechnik hätten registrieren müssen, bleibt weiter deutlich hinter den Schätzungen des Gesetzgebers zurück. Statt 29.500 Registrierungen haben sich bis zum neuen Fristende am vergangenen Freitag nur 18.845 nach eigener Einschätzung von den erweiterten NIS2-Pflichten Betroffene gemeldet.
Laut BSI sind das 6.490 „besonders wichtige Einrichtungen“ und 12.355 „wichtige Einrichtungen“. Die Bundesregierung hatte bei der verspäteten Verabschiedung des NIS2-Umsetzungsgesetzes im Dezember 2025 etwa die Hälfte mehr erwartet, basierend auf einer Schätzung des Statistischen Bundesamtes. „Das BSI bewertet diesen Stand als grundsätzlich zufriedenstellend, auch wenn ein Teil der betroffenen Einrichtungen den gesetzlichen Verpflichtungen bislang nicht oder nicht vollständig nachgekommen ist“, sagte eine Behördensprecherin.
Wo ist all die Kritis hin?
Schon seitdem die Registrierung Anfang März freigeschaltet wurde, lagen die Zahlen deutlich unter diesem Wert. Statt 29.500 hatten sich zum ursprünglichen Stichtag nur 11.500 Betreiber kritischer Einrichtungen und Anlagen ordnungsgemäß registriert. Dabei ist es in einigen Fällen nicht einfach, rechtssicher festzustellen, ob es sich um einen Verpflichteten handelt. Grundsätzlich erkennt das auch das BSI an, etwa bei komplexen Firmenstrukturen. Auch deshalb hatte das BSI die Registrierungsphase bis zum vergangenen Freitag noch einmal verlängert.
