Fristende BSI-Meldung: 18.500 Firmen riskieren jetzt hohe Bußgelder

Die Frist für die NIS2-Registrierung ist abgelaufen, doch der große Ansturm blieb aus. Rund 18.500 Unternehmen haben die Anmel­dung beim BSI versäumt und riskieren nun Bußgelder. Was auf die Säumigen zukommt und warum die Politik von einem Fehler spricht.

Bußgelder möglich: 18.500 Firmen ohne BSI-Meldung

Am Freitag lief die offizielle Frist für Unternehmen und Behörden ab, die unter die neue NIS2-Richtlinie fallen und sich beim BSI registrieren müssen. Ursprünglich war die Bundesregierung von rund 30.000 betroffenen Einrichtungen ausgegangen.

Tatsächlich haben sich aber nur etwa 11.500 Stellen im Portal angemeldet - rund 18.500 Unternehmen haben den Stichtag verpasst und bewegen sich nun in einer rechtlichen Grauzone. Die Registrierung ist mehr als ein Häkchen im System. "Wichtige" und "besonders wichtige" Einrichtungen müssen nicht nur ihre Kontaktdaten hinterlegen, sondern gemäß Paragraf 33 des BSI-Gesetzes auch technische Informationen zu kritischen Komponenten und ihren öffentlich erreichbaren IP-Adressbereichen angeben.


Wer das unterlässt, begeht eine Ordnungswidrigkeit. Das BSI kann ab sofort mit Zwangsgeldern nachhelfen oder direkt Bußgelder wegen Verstößen gegen Compliance-Pflichten verhängen. Für besonders wichtige Einrichtungen reicht der Strafrahmen bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

Hürde Elster-Konto: Registrierung mit Anlauf

Wie unter anderem heise online berichtet, ist der eigentliche Registrierungsvorgang für viele Unternehmen alles andere als selbsterklärend. Zwar erfolgt die Meldung über ein BSI-Portal, doch Voraussetzung ist ein Unternehmenskonto auf Basis eines Elster-Organisationszertifikats im Dienst "Mein Unternehmenskonto".

Diese doppelte Hürde sorgt gerade bei internationalen Konzernen mit deutschen Tochtergesellschaften für Kopfschütteln, weil die Elster-Technologie bislang vor allem aus dem Steuerbereich bekannt ist. Das BSI hat angekündigt, zusätzliche Hilfestellungen für komplexe Konzernstrukturen zu liefern, um die Registrierung nachzuziehen.

Politik kritisiert Umsetzung und Tempo

Die klaffende Lücke zwischen erwarteten und tatsächlich registrierten Einrichtungen sorgt auch politisch für Unmut. Die Grünen-Digitalpolitikerin Jeanne Dillschneider bezeichnet den niedrigen Registrierungsstand als Armutszeugnis. Ihre Kritik richtet sich vor allem an Bundesinnenminister Alexander Dobrindt. Ihm wirft sie vor, sich in Plänen für einen sogenannten "Cyberdome" und aktive Cyberabwehr zu verlieren, statt zuerst die Basisarbeit bei der IT-Sicherheit im eigenen Land abzusichern. Der Begriff Cyberdome steht für ein geplantes Lagezentrum, das Cyberbedrohungen in Echtzeit erkennen und bewerten soll.

Gleichzeitig hat die Ausweitung der betroffenen Sektoren viele Mittelständler kalt erwischt. Während bisher vor allem Energieversorger oder Wasserwerke als Kritische Infrastruktur galten, greift NIS2 nun deutlich breiter: Unter anderem Unternehmen aus Abfallwirtschaft, Chemie, Lebensmittelbranche, verarbeitendem Gewerbe und Forschung fallen in den Geltungsbereich. Viele dieser Firmen haben keine eigenständigen Security-Teams und müssen sich erst in die neue Regulierung hineinarbeiten.

Worum es bei NIS2 am Ende geht, zeigt der praktische Nutzen der neuen Datenbank sehr klar: Im Krisenfall soll die Bonner Behörde sofort die richtigen Ansprechpartner erreichen können, um Warnungen, Handlungsempfehlungen und Koordination schnell auf den Weg zu bringen.

Wenn der Flughafen stillsteht

Wie wichtig funktionierende Meldeketten sind, hat zuletzt der Cyberangriff auf einen Dienstleister des Flughafens Berlin Brandenburg gezeigt, der die Abfertigungssysteme lahmlegte. Um solche Kaskadeneffekte in Zukunft besser einzudämmen, gelten für NIS2-Einrichtungen strenge Meldefristen: Eine erste Meldung an das BSI muss innerhalb von 24 Stunden erfolgen, eine weitere nach 72 Stunden und ein Abschlussbericht nach einem Monat. Ohne vorherige Registrierung laufen diese Meldewege jedoch ins Leere - und genau hier droht sich die aktuelle Zurückhaltung vieler Unternehmen zu rächen.

Was meint ihr: Ist das Verfahren mit Elster-Zwang und BSI-Portal zu bürokratisch, oder handeln die Unternehmen schlicht zu fahrlässig, wenn sie ihre Registrierung auf die lange Bank schieben?


Siehe auch: