Registrierung beim BSI nach § 33 BSIG

Wer sich registrieren muss

Die Pflicht trifft alle besonders wichtigen und wichtigen Einrichtungen sowie Domain-Name-Registry-Dienstleister (§ 33 Abs. 1 BSIG). Ob Sie dazugehören, klären Sie zuerst. Die Seite Betroffenheit zeigt die Kriterien mit Rechenbeispielen. Für Betreiber kritischer Anlagen verweist § 33 Abs. 2 BSIG für die Registrierung der Anlagen auf § 8 des KRITIS-Dachgesetzes.

Registriert wird die Einrichtung, also die juristische Person. Eine Gruppe mit drei betroffenen GmbHs braucht drei Registrierungen. Das gilt auch, wenn alle Gesellschaften dieselbe IT und dieselbe Sicherheitsorganisation nutzen.

Fristen: was abgelaufen ist und was noch gilt

Das Registrierungsportal des BSI ist seit dem 6. Januar 2026 online. Wer heute noch nicht registriert ist und schon bei Inkrafttreten betroffen war, ist ohne Schonfrist im Verzug.

Der Ablauf Schritt für Schritt

Welche Angaben Sie brauchen

§ 33 Abs. 1 BSIG nennt die Angaben, das Portal fragt sie ab. Bereiten Sie vor:

• Name, Rechtsform und gegebenenfalls Handelsregisternummer.
• Anschrift und aktuelle Kontaktdaten, darunter E-Mail-Adresse, Telefonnummern und öffentliche IP-Adressbereiche.
• Den Sektor nach Anlage 1 oder 2 und die Einstufung als besonders wichtige oder wichtige Einrichtung, dazu Angaben zur Größe.
• Die EU-Mitgliedstaaten, in denen Sie Dienste erbringen.
• Die zuständigen Aufsichtsbehörden des Bundes und der Länder, falls es welche gibt.
• Eine Kontaktstelle, die rund um die Uhr erreichbar ist.

Die Kontaktstelle rund um die Uhr

Das BSI muss Sie auch nachts und am Wochenende erreichen, etwa bei einer Warnung zu einer aktiv ausgenutzten Schwachstelle. Eine Sammeladresse, die montags gelesen wird, reicht dafür nicht. Möglich sind eine Rufbereitschaft der IT, ein externer Dienstleister mit Bereitschaftsdienst oder eine Rotation unter mehreren Personen. Wichtig ist, dass die Person weiß, was sie mit einer Nachricht des BSI tun soll, und wen sie in der Geschäftsleitung erreicht.

Wer im Unternehmen zuständig ist

In vielen Betrieben liegt das ELSTER-Zertifikat in der Buchhaltung oder beim Steuerberater, die Sicherheitsfragen dagegen in der IT. Klären Sie vorab, wer die Registrierung durchführt und wer sie inhaltlich freigibt. Bewährt hat sich, dass die IT-Leitung oder die verantwortliche Person für Informationssicherheit die Angaben zusammenstellt und die Geschäftsführung sie vor dem Absenden bestätigt. So passt die Registrierung zur eigenen Einstufung, und niemand muss später erklären, warum Portal und interne Dokumentation voneinander abweichen.

Bei den IP-Adressbereichen lohnt ein Blick in die Verträge mit Ihrem Provider. Viele Mittelständler kennen ihre festen Adressen nicht auswendig, und in Gruppen sind sie oft auf mehrere Gesellschaften verteilt.

Was tun bei verspäteter Registrierung

Die versäumte Frist lässt sich nicht heilen. Sie können aber den Zeitraum des Verstoßes kurz halten und zeigen, dass Sie die Pflicht ernst nehmen.

1. Registrieren Sie sich sofort. Warten Sie nicht auf einen fertigen Maßnahmenkatalog, die Registrierung setzt ihn nicht voraus.
2. Halten Sie fest, warum die Registrierung später kam, etwa eine neue Einstufung nach Prüfung der Nebentätigkeiten oder Verzögerungen beim Zertifikat.
3. Legen Sie der Geschäftsleitung den Stand vor und lassen Sie ihn zur Kenntnis nehmen. Sie ist nach § 38 BSIG für die Umsetzung verantwortlich.
4. Prüfen Sie, ob Ihr Meldeablauf nach § 32 BSIG steht. Die Meldepflicht hängt nicht an der Registrierung, sie gilt ab dem Zeitpunkt, an dem Sie Einrichtung sind.

Fehlende, falsche oder verspätete Registrierungsangaben können nach § 65 Abs. 2 Nr. 6 in Verbindung mit Abs. 5 Nr. 5 BSIG mit bis zu 500.000 € geahndet werden. Unterbleibt die Registrierung, kann das BSI sie nach § 33 Abs. 3 BSIG auch selbst vornehmen. Mehr zum Rahmen steht auf der Seite Bußgelder und Aufsicht.

Registrierung aktuell halten

Ändern sich Ihre Angaben, müssen Sie das BSI unverzüglich informieren, spätestens zwei Wochen nachdem Sie davon erfahren (§ 33 Abs. 5 BSIG). Typische Anlässe im Mittelstand:

• Neue Rufnummer oder neue Person für die Kontaktstelle.
• Providerwechsel mit neuen öffentlichen IP-Adressen.
• Umfirmierung, Verschmelzung oder neuer Sitz.
• Wechsel der Einstufung, etwa von wichtig zu besonders wichtig nach Überschreiten von 250 Beschäftigten.
• Dienste in einem weiteren EU-Mitgliedstaat.

Hängen Sie die Prüfung an bestehende Abläufe: an den Jahresabschluss, an Personalwechsel in der IT und an jeden Providervertrag. Eine einfache Checkliste mit Verantwortlichem reicht. Ob Registrierung, Kontaktstelle und Meldeablauf bei Ihnen vollständig sind, prüft das NIS2-Scoring im Bereich Registrierung und Meldepflichten.