NIS2 Registrierung BSI: Schritt-für-Schritt im BSI-Portal
Die NIS2 Registrierung beim BSI ist für betroffene Einrichtungen der zentrale Einstieg in Pflichten wie Kontaktstellenpflege und Sicherheitsvorfall-Meldungen. Praktisch läuft sie in zwei Stufen: Erst die Identität über Mein Unternehmenskonto (MUK) mit ELSTER-Organisationszertifikat, dann die eigentliche Registrierung im BSI-Portal.
- Zwei Stufen verstehen: MUK (Authentifizierung) und danach Registrierung im BSI-Portal
- Vorab Daten sammeln: Kontaktstelle, Sektor/Einrichtungsart, IP-Adressbereiche und Domains
- Nach Registrierung Prozesse festlegen: Änderungen fristgerecht nachziehen, Vorfälle meldefähig dokumentieren
Die Registrierung bringt nicht nur formale Compliance: Sie zwingt zu klaren Verantwortlichkeiten und reduziert Reibung, wenn Meldefristen wirklich zählen.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
Die NIS2 Registrierung beim BSI ist die formale Eintragung einer betroffenen Einrichtung im BSI-Portal auf Basis des BSI-Gesetzes (BSIG), um Zuständigkeiten, Kontaktstellen und Stammdaten für NIS-2 zu hinterlegen.
Sie ist keine technische Sicherheitsmaßnahme und keine KRITIS-Zertifizierung nach BSI-Kritisverordnung (BSI-KritisV), sondern ein Verwaltungsvorgang für regulierte Einrichtungen und deren Meldewege.
Einleitung
Wenn du NIS-2 betroffen bist, führt an der NIS2 Registrierung BSI kein Weg vorbei. Der Ablauf ist gut machbar, scheitert aber oft an fehlenden Vorarbeiten: falscher Sektor, unklare Kontaktstelle oder keine sauberen IP-Adressbereiche. Hier bekommst du eine kompakte Schritt-für-Schritt-Anleitung inklusive Checkliste, Portal-Hinweisen und FAQ zu Registrierungspflichten und Meldefristen.
Vorbereitung: Betroffenheitsprüfung, KRITIS-Bezug, Fristen
Bevor du dich im Portal festfährst, kläre drei Dinge schriftlich: NIS-2-Betroffenheitsprüfung, Einrichtungsart und KRITIS-Bezug. Das BSI stellt dazu Infopakete und nis2know als Orientierung bereit; intern brauchst du trotzdem eine belastbare Entscheidung, wer Betreiber ist und wer meldet.
- Betroffenheitsprüfung: Sektor/Branche und Größenmerkmale dokumentieren (NIS-2-regulierte Einrichtung: „wesentlich“ oder „wichtig“).
- KRITIS-Abgleich: Prüfen, ob du bereits als KRITIS / Betreiber kritischer Anlagen geführt wirst; ergänzend kann OpenKRITIS / Open KRITIS bei der Einordnung helfen.
- Verantwortung festlegen: Geschäftsführung, Kontaktstelle und Stellvertretung benennen, damit Meldungen jederzeit funktionieren.
Die zwei Stufen der Registrierung im BSI-Portal
Der Prozess ist zweistufig: Stufe 1 schafft die sichere Authentifizierung über ein Unternehmenskonto, Stufe 2 erfasst die Einrichtung im Fachverfahren. Das ist wichtig, weil viele Unternehmen fälschlich im BSI-Portal starten, ohne das Unterkonto sauber vorbereitet zu haben.
Stufe 1: Mein Unternehmenskonto (MUK) einrichten
Für die Anmeldung im BSI-Portal wird „Mein Unternehmenskonto (MUK)“ genutzt. Dafür brauchst du ein ELSTER-Organisationszertifikat (kein privates ELSTER-Zertifikat). Plane Zeit ein, weil Aktivierungsschritte und interne Freigaben oft länger dauern als erwartet.
- ELSTER-Organisationszertifikat beschaffen und intern sicher ablegen (Zugriff, Passwort, Verantwortliche).
- MUK anlegen und Unternehmensstammdaten vervollständigen (Adresse, Registerdaten, Kontakt).
- Berechtigungen klären: Wer darf registrieren, wer darf später Meldungen beim BSI abgeben?
Stufe 2: Einrichtung im BSI-Portal registrieren
Nach der MUK-Anmeldung gehst du ins BSI-Portal und startest die Registrierung BSI im NIS-2-Fachverfahren. Hier werden die Daten deiner Einrichtung erfasst. Tipp für die Praxis: Das Portal ist streng bei Pflichtfeldern und Formaten; bereite die Inhalte vor, statt sie live zusammenzusuchen.
Schritt-für-Schritt: NIS2 Registrierung BSI im BSI-Portal
So gehst du pragmatisch vor, ohne Schleifen zu drehen:
- 1) Anmelden: Über MUK einloggen, dann im BSI-Portal das NIS-2-Fachverfahren auswählen.
- 2) Einrichtung anlegen: Einrichtungsart (wesentlich/wichtig), Sektor/Branche und Grunddaten (Name, Anschrift, Register) eintragen.
- 3) Kontaktstelle hinterlegen: Funktionspostfach (Mail-Adresse), Name/Rolle, Telefonnummer und Stellvertretung erfassen, damit Sicherheitsvorfälle melden realistisch möglich ist.
Je nach Formularstand können zusätzlich technische Angaben abgefragt werden (z. B. IP-Adressbereiche in CIDR-Notation, Domains, Adressbereiche). Hier passieren die meisten Fehler: unvollständige IP-Angaben, veraltete Zuständigkeiten oder falsche Zuordnung zu Anlagen/Komponenten.
Checkliste: Diese Unternehmensdaten solltest du bereithalten
Damit die Registrierung nicht abbricht oder später nachgebessert werden muss, sammle vorab diese Angaben:
- Stammdaten: Rechtsform, Registerdaten, Adresse, Sektor/Branche, Einrichtungsart, Ansprechpartner inkl. Mail-Adresse.
- Kontaktstelle: 24/7 erreichbare Kontaktstelle (zumindest organisatorisch), Stellvertretung, definierter Meldeweg intern.
- Technische Angaben: IP-Adressbereiche (CIDR), relevante Domains/DNS-Namen, grobe Abgrenzung betroffener Systeme/Standorte.
Typische Stolpersteine im Portal und bei der Authentifizierung
Die häufigsten Probleme sind nicht „Technik“, sondern Organisation. Wenn du sie vorher klärst, sparst du Stunden und verhinderst falsche Angaben beim BSI.
- ELSTER-Organisationszertifikat liegt „irgendwo“: Ohne klaren Besitzer und sichere Ablage entsteht Stillstand.
- Kontaktstelle ist unklar: Eine Mailbox ohne Prozess hilft nicht, wenn ein Sicherheitsvorfall wirklich gemeldet werden muss.
- IP-Adressbereiche sind nicht gepflegt: Dann werden Adressbereiche geschätzt und später werden Änderungen vergessen.
Mini-Beispiel: Warum saubere Registrierung operativ Geld spart
Ein Unternehmen registriert sich, aber trägt nur eine generische IT-Mailbox ein und keine sauberen IP-Adressbereiche. Wochen später wird ein Vorfall entdeckt, und es startet eine hektische Suche: wer meldet, welche Systeme sind betroffen, welche Adressbereiche gehören dazu. Eine saubere Registrierung plus vorbereiteter Meldeprozess senkt genau diese Reibungskosten und reduziert das Risiko teurer Fehlentscheidungen unter Zeitdruck.
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung lohnt sich, wenn du intern die Verantwortung nicht eindeutig zuweisen kannst oder wenn Registrierungsdaten (Kontaktstelle, IP-Adressbereiche, betroffene Einheiten) erst mühsam zusammengetragen werden müssen. Besonders hilfreich ist Hilfe, wenn du parallel die Fähigkeit aufbauen willst, Sicherheitsvorfälle fristgerecht zu melden und nachweisbar zu dokumentieren.
Wenn du die operative Seite ernst nimmst, endet Compliance nicht im Portal: Du brauchst Monitoring, Triage und saubere Vorfallsdokumentation. Genau da entsteht messbarer Nutzen, weil bessere Erkennung und schnellere Eindämmung teure Ausfallzeiten und Folgeschäden reduziert.
Fazit
Die NIS2 Registrierung BSI ist ein zweistufiger Prozess: erst MUK mit ELSTER-Organisationszertifikat, dann die Einrichtung im BSI-Portal. Entscheidend ist nicht das Klicken im Portal, sondern die Vorbereitung: Einrichtungsart, Kontaktstelle, IP-Adressbereiche und klare Verantwortlichkeiten. Wenn das steht, wird auch die NIS-2-Meldepflicht im Ernstfall realistisch umsetzbar.
Ressourcen zum Download (für deine interne Ablage):
- PDF: „NIS2 Registrierungs-Checkliste (Stammdaten, Kontaktstelle, IP-Adressbereiche)“
- PDF: „Meldeprozess-Template: Wer meldet was bis wann (24h/72h/30 Tage)“
- Checkliste: „KRITIS-Abgleich inkl. OpenKRITIS-Hinweise“
Häufige Fragen
Muss jedes Unternehmen die NIS2 Registrierung beim BSI machen?
Nein. Registrierungspflichtig sind nur Einrichtungen, die nach NIS-2 betroffen sind (z. B. aufgrund Sektor/Branche und Größenmerkmalen) oder als Betreiber kritischer Anlagen eingeordnet werden. Eine saubere NIS-2-Betroffenheitsprüfung ist der erste Schritt.
Was sind die zwei Stufen der Registrierung im BSI-Portal?
Stufe 1 ist die Authentifizierung über Mein Unternehmenskonto (MUK) mit ELSTER-Organisationszertifikat. Stufe 2 ist die eigentliche Registrierung der Einrichtung im BSI-Portal im NIS-2-Fachverfahren mit Stammdaten, Kontaktstelle und weiteren Pflichtangaben.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Die NIS-2-Meldepflicht sieht typischerweise gestufte Meldungen vor (z. B. 24 Stunden für eine Erstmeldung, 72 Stunden für eine weitergehende Meldung und einen Abschlussbericht innerhalb einer späteren Frist wie 30 Tage). Entscheidend ist, dass du intern Prozesse und Zuständigkeiten definierst, damit diese Fristen im Alltag erreichbar sind.
Lohnt sich der Aufwand für die Registrierung überhaupt?
Ja, wenn du sie als Startpunkt für klare Zuständigkeiten und einen funktionierenden Meldeprozess nutzt. Dann sinken operative Kosten im Vorfall (weniger Suchaufwand, schnellere Entscheidung), und du reduzierst das Risiko von Folgeschäden durch verspätete oder unvollständige Meldungen.
