NIS-2-Registrierung verpasst: Was jetzt zu tun ist

1. Rechtsstand: Die gesetzliche Frist ist abgelaufen

Das Gesetz zur Umsetzung der NIS-2-Richtlinie wurde am 5. Dezember 2025 verkündet; das darin neu gefasste BSI-Gesetz datiert vom 2. Dezember 2025 und ist am 6. Dezember 2025 in Kraft getreten.^[1] Eine allgemeine Übergangsfrist für die Pflichten der §§ 30, 32 und 38 BSIG kennt das Gesetz nicht; die einzige ausdrückliche Anwendungsbestimmung in § 66 BSIG betrifft den KRITIS-Bezug.

§ 33 Abs. 1 BSIG knüpft die Registrierung nicht an einen einheitlichen Kalendertag, sondern an die individuelle Betroffenheit: Die Angaben sind spätestens drei Monate zu übermitteln, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt.^[2] Für eine Einrichtung, die bereits am 6. Dezember 2025 alle Merkmale erfüllte, endete die Frist am 6. März 2026. Entsteht die Betroffenheit später – durch Wachstum, Zukauf, Umstrukturierung oder ein neues Leistungsangebot –, beginnt für die konkrete Rechtseinheit eine eigene Dreimonatsfrist.

1.1 Die Termine, auf die es ankommt

2. Das amtliche Lagebild: Wer sich bisher registriert hat

Das BSI veröffentlicht die Registrierungs- und Meldezahlen quartalsweise selbst. Maßgeblich ist die Auswertung zum 30. Juni 2026; sie ist die einzige belastbare amtliche Datengrundlage zum Registrierungsstand. Die in der Berichterstattung häufig zitierten Werte von 11.500 und 18.500 stammen dagegen aus Behördenauskünften und nicht aus einer amtlichen Veröffentlichung – sie sollten nicht mit den Portalzahlen vermischt werden.^[15][31]

Belegt sind durch die Statistik zunächst nur drei Dinge: die Verteilung auf Einrichtungstypen, die Verteilung auf Sektoren und die Zahl der Meldungen. Unternehmensgrößen, bisherige Regulierungserfahrung oder ein normativer Erwartungswert für Meldungen lassen sich ihr nicht entnehmen.

Die folgende Einordnung ist eigene Bewertung. Erstens zeigt die Spitzenstellung des verarbeitenden Gewerbes mit 4.095 Nennungen, wie weit NIS-2 über die klassischen KRITIS-Sektoren hinausreicht: Das BSI beaufsichtigte vor der Novelle rund 4.500 Organisationen, künftig rund 29.500.^[26] Zweitens sind von 6.215 besonders wichtigen Einrichtungen nur 1.342 Betreiber kritischer Anlagen – die Mehrheit der proaktiv beaufsichtigten Einrichtungen ist also kein klassischer KRITIS-Betreiber. Drittens haben sich die Meldezahlen im zweiten Quartal deutlich bewegt: von 248 auf 692 Erstmeldungen und von 541 auf 1.659 Meldungen insgesamt. Ob das eine veränderte Bedrohungslage, eine wachsende Zahl registrierter Melder oder eine steigende Meldedisziplin abbildet, lässt die Statistik offen.

3. Wer sich registrieren muss: § 28 BSIG ohne Abkürzungen

Die häufigste Fehlannahme lautet: „NIS-2 beginnt ab 50 Mitarbeitern.“ Das ist nur ein Teil der Prüfung. § 28 BSIG verbindet Einrichtungsarten, Größenwerte und Sondertatbestände. Entscheidend ist dabei die Verknüpfungslogik: Die Mitarbeiterzahl steht alternativ neben den beiden Finanzkennzahlen, die ihrerseits kumulativ vorliegen müssen.^[4]

3.1 Anlage 2 führt nie zur besonders wichtigen Einrichtung

§ 28 Abs. 1 Nr. 4 BSIG setzt für die besonders wichtige Einrichtung eine Einrichtungsart der Anlage 1 voraus. Wer ausschließlich einer Einrichtungsart der Anlage 2 zuzuordnen ist – etwa verarbeitendes Gewerbe, Lebensmittel, Chemie, Abfallwirtschaft, Post, digitale Dienste oder Forschung –, bleibt auch bei 2.000 Beschäftigten wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG. Die verbreitete Formel „ab 250 Mitarbeitern besonders wichtig“ ist deshalb unvollständig und führt in der Praxis zu einer Selbstverpflichtung auf die falsche Aufsichtsspur.

3.2 Die Einrichtungsart ist enger als die Branche

Die Anlagen 1 und 2 listen nicht nur Sektoren, sondern konkrete Einrichtungsarten. Ein Unternehmen wird nicht erfasst, weil es „im Gesundheitsmarkt“ oder „für die Energiebranche“ tätig ist, sondern weil eine entgeltlich angebotene Ware oder Dienstleistung einer gesetzlichen Einrichtungsart entspricht. Nach § 28 Abs. 3 BSIG können Tätigkeiten unberücksichtigt bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind.^[4] Diese Klausel ist keine Umsatzgrenze, sondern verlangt eine dokumentierte Gesamtbetrachtung: Kundenrelevanz, operative Eigenständigkeit, IT-Abhängigkeit, Ertragsanteil, Vertragsbestand und strategische Bedeutung.

3.3 Konzernverbund: Zahlenzurechnung und Registrierung sind zwei Fragen

§ 28 Abs. 4 Satz 1 BSIG verweist für die Berechnung auf die Empfehlung 2003/361/EG, ausdrücklich mit Ausnahme von Artikel 3 Abs. 4 des Anhangs. Entscheidend ist Satz 2: Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist.^[4]

Das ist eine bemerkenswerte Abweichung vom klassischen KMU-Recht: Der Gesetzgeber knüpft nicht an die Beteiligungsquote an, sondern an IT-Autonomie. Wer zentrale Konzern-IT, gemeinsames Verzeichnisdienst-Management, geteilte Netzsegmente, konzernweite Cloud-Tenants oder ein gruppenweites Security Operations Center nutzt, wird die Unabhängigkeit kaum begründen können. Wer eigene Domänen, eigene Beschaffung und eigene Betriebsverantwortung nachweist, sehr wohl. Der Nachweis ist technisch-organisatorisch, nicht gesellschaftsrechtlich – und er sollte vor der Entscheidung dokumentiert werden, nicht danach.

4. Die Kernfrage: Welche Rechtswirkung hatte der kommunizierte Nachholtermin?

Die zentrale dogmatische Frage lautet nicht, ob ein Unternehmen sich noch registrieren darf, sondern welche Rechtswirkung der kommunizierte Nachholtermin überhaupt hatte. Die Antwort bestimmt die Risikoeinschätzung der nächsten zwölf Monate.

§ 33 Abs. 1 BSIG enthält eine gesetzliche Frist. Das Bundesamt ist zu ihrer Verlängerung nicht ermächtigt: Weder § 33 Abs. 6 BSIG, der lediglich die Ausgestaltung des Registrierungsverfahrens durch öffentliche Mitteilung erlaubt, noch eine andere Norm des BSIG räumt eine Dispensbefugnis ein. Eine Behörde kann eine materiell-rechtliche Frist des Gesetzgebers nicht durch Verwaltungshandeln aufheben.

Nach der fachöffentlichen Wiedergabe des nicht veröffentlichten Schreibens erklärte das BSI, es gehe davon aus, dass alle bisher nicht registrierten Einrichtungen die Registrierung bis zum 31. Juli 2026 erfolgreich abschließen.^[28] Das ist ein kommunizierter Nachholtermin. Den zugänglichen Wiedergaben lässt sich weder eine generelle Zusage entnehmen, bis dahin von Bußgeldverfahren abzusehen, noch eine Bindung des Verfolgungsermessens nach § 47 OWiG, noch eine automatische Verschärfung ab dem 1. August 2026. Bezeichnenderweise ist dieser Termin auf den öffentlichen NIS-2-Seiten des BSI gar nicht ausgewiesen; dort steht unverändert der Hinweis, die gesetzliche Registrierungsfrist sei abgelaufen und betroffene, noch nicht registrierte Einrichtungen sollten sich umgehend im BSI-Portal registrieren.^[16]

4.1 Was daraus praktisch folgt

• Nachholen bleibt richtig. Die Pflicht bleibt bis zur Registrierung unerfüllt. Mit zunehmender Verzögerung verschlechtert sich regelmäßig die Erklärungs- und Zumessungsposition. Wie das fortdauernde Unterlassen ordnungswidrigkeitenrechtlich einzuordnen ist, ist nicht geklärt.
• Eigeninitiative wirkt auf der Rechtsfolgenseite. Die selbst veranlasste Nachmeldung ist ein Zumessungsgesichtspunkt nach § 17 Abs. 3 OWiG und regelmäßig günstiger als eine Reaktion nach behördlicher Ansprache. Auch danach können schnelle Abhilfe, vollständige Aufklärung und Kooperation aber weiterhin zugunsten der Einrichtung berücksichtigt werden.
• Der Verjährungsbeginn ist ungeklärt. Die Verfolgung verjährt nach § 31 Abs. 2 Nr. 1 OWiG in drei Jahren, weil der Bußgeldrahmen 15.000 Euro übersteigt.^[9] Der Beginn richtet sich nach § 31 Abs. 3 Satz 1 OWiG mit Beendigung der Handlung. Bei einem Unterlassen mit fortbestehender Handlungspflicht spricht viel dafür, dass die Beendigung erst mit Nachholung oder Wegfall der Pflicht eintritt. Wer nicht registriert, lässt die Verjährungsuhr also womöglich gar nicht erst anlaufen. Das ist eine eigene Bewertung; Rechtsprechung zu § 65 BSIG existiert nicht.

5. Vier Fälle, vier Ergebnisse

6. Sieben Schritte: So wird die Registrierung belastbar nachgeholt

Die richtige Reaktion ist weder ein monatelanges Vollgutachten vor dem ersten operativen Schritt noch ein ungeprüftes Ausfüllen des Portals. Erforderlich ist eine kurze, kontrollierte Parallelstrecke aus Scope, Daten, Entscheidung und technischer Abgabe.

7. Portal, Pflichtdaten und die vier häufigsten Stolperfallen

Die Registrierung erfolgt nach amtlicher Information ausschließlich im BSI-Portal unter portal.bsi.bund.de, nicht im Melde- und Informationsportal.^[18] § 33 Abs. 1 BSIG verlangt fünf Angabengruppen: Name einschließlich Rechtsform und gegebenenfalls Handelsregisternummer; Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern; den einschlägigen Sektor oder die Branche nach Anlage 1 oder 2; die Mitgliedstaaten, in denen entsprechende Dienste erbracht werden; sowie die zuständigen Aufsichtsbehörden des Bundes und der Länder.^[2]

7.1 Die vier Stolperfallen

7.2 Welche Belege in die Akte gehören

Ein Bildschirmnachweis allein belegt nicht, dass die rechtliche Einordnung richtig war. Umgekehrt muss ein Scope-Memo nicht jeden technischen Portalwert enthalten. Erst beides zusammen ergibt eine tragfähige Akte: rechtliche Herleitung und technische Übermittlung.

7.3 Muss die Verspätung im Portal erläutert werden?

§ 33 Abs. 1 BSIG verlangt die dort aufgeführten Angaben; eine ungefragte rechtliche Selbstbewertung der Verspätung ist kein Pflichtfeld. Operativ sollte die Registrierung deshalb nicht durch eine unstrukturierte Rechtfertigung verzögert werden. Intern braucht es dagegen eine präzise Chronologie: Wann lagen die Tatsachen vor, wann wurde die Frage erkannt, welche Prüfung erfolgte, wann wurde nachgeholt? Bei einem Auskunftsverlangen nach § 33 Abs. 4 BSIG sind Angaben vollständig und wahrheitsgemäß zu beantworten; die Kommunikation sollte dann verfahrensbezogen vorbereitet werden.

8. Geschäftsleitung: keine persönliche Portalpflicht, aber klare Governance-Verantwortung

§ 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen; Absatz 3 verlangt die regelmäßige Teilnahme an Schulungen. Bei schuldhafter Pflichtverletzung verweist Absatz 2 auf die rechtsformabhängige Innenhaftung gegenüber der Einrichtung.^[7] Die Registrierung nach § 33 BSIG ist demgegenüber eine Pflicht der Einrichtung. Eine gesetzliche Vorgabe, dass ein Geschäftsführer oder Vorstand das Portalformular persönlich absenden müsste, gibt es nicht.

Die Fristversäumnis berührt die Leitungsorganisation dennoch unmittelbar. Die Geschäftsleitung muss dafür sorgen, dass regulatorische Betroffenheit erkannt, Zuständigkeiten verteilt, Ressourcen bereitgestellt und Abweichungen korrigiert werden. Ein belastbarer Beschluss zeigt, dass die Leitung nicht nur einen Portalvorgang freigegeben, sondern die drei Pflichtspuren aus Registrierung, Meldung und Risikomanagement erfasst hat.

9. Sonderfall KRITIS: Zwei Register, ein Übergangsrecht

Hier weicht die Praxis von der Lektüre des Gesetzestextes ab, und zwar in beide Richtungen. § 33 Abs. 2 BSIG verweist in der aktuellen Fassung für die Registrierung kritischer Anlagen auf § 8 KRITIS-Dachgesetz. § 66 BSIG ordnet jedoch an, dass diese Verweisung erst anzuwenden ist, wenn die Rechtsverordnung auf Grundlage von § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz gilt; bis dahin bleiben die bis einschließlich 16. März 2026 geltenden Fassungen maßgeblich.^[8] Das BBK bestätigt in seiner FAQ, dass diese Verordnung noch erarbeitet und abgestimmt wird und deshalb derzeit keine Registrierungspflicht auf Grundlage des KRITIS-Dachgesetzes besteht.^[24]

Daraus folgt nicht, dass Betreiber kritischer Anlagen aktuell nichts tun müssten. Nach der fortgeltenden Fassung des § 33 Abs. 2 BSIG übermitteln sie zusätzlich zu den Angaben nach Absatz 1 die kritische Dienstleistung, die Anlagenkategorie, Versorgungskennzahlen und den Standort sowie eine Kontaktstelle, über die sie jederzeit erreichbar sind. Das BSI legt „jederzeit erreichbar“ als Rund-um-die-Uhr-Erreichbarkeit aus: Betreiber müssen Warn- und Lageinformationen jederzeit entgegennehmen, unverzüglich sichten und bewerten können.^[19] Die Verletzung dieser Erreichbarkeitspflicht ist nach § 65 Abs. 2 Nr. 7 i. V. m. Abs. 5 Satz 1 Nr. 6 BSIG mit bis zu 100.000 Euro bußgeldbewehrt.^[3]

Ebenso zu beachten ist das Übergangsrecht bei den Aktualisierungspflichten – und hier löst das Gesetz die Frage selbst. § 66 BSIG in der seit dem 29. Juli 2026 geltenden Fassung ordnet an, dass § 2 Nr. 22 und 24 sowie § 33 Abs. 2 und 5 BSIG erst anzuwenden sind, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz in Kraft getreten ist. Bis dahin gelten § 2 Nr. 22 und 24 sowie § 33 Abs. 2 BSIG in der bis einschließlich 16. März 2026 geltenden Fassung und § 33 Abs. 5 BSIG in der bis einschließlich 28. Juli 2026 geltenden Fassung fort.^[8][29]

Daraus folgt für die Praxis: Geänderte Versorgungskennzahlen und Änderungen der bei Betreibern kritischer Anlagen eingesetzten Typen kritischer Komponenten sind einmal jährlich zu übermitteln; alle anderen Änderungen unverzüglich, spätestens binnen zwei Wochen nach Kenntnis. Die Verfahrenshinweise des BSI zur jährlichen Übermittlung entsprechen damit dem gesetzlichen Übergangsregime und stehen nicht in Spannung dazu.^[20] Die pauschale Aussage „Änderungen binnen zwei Wochen“ trifft folglich auf die allgemeinen Registrierungsangaben zu, nicht auf die KRITIS-spezifischen.

10. Fünf verbreitete Fehlannahmen im Faktencheck

Diese Aussagen finden sich in zahlreichen Beiträgen und Schulungsunterlagen – und halten einer Prüfung am Normtext nicht stand.

11. Durchsetzung, Sanktionen und die zivilrechtliche Flanke

Vorab eine Selbstverständlichkeit, die in der Marktkommunikation regelmäßig untergeht: § 65 Abs. 2 BSIG setzt vorsätzliches oder fahrlässiges Handeln voraus. Die bloße objektive Verspätung begründet noch keine bußgeldrechtliche Verantwortlichkeit; mindestens Fahrlässigkeit muss hinzukommen. Ob mindestens Fahrlässigkeit vorliegt, ist anhand der konkreten Organisation, der Kenntnislage und der Komplexität der Betroffenheitsprüfung zu beurteilen; nach längerer öffentlich verfügbarer Behördenkommunikation kann sie allerdings naheliegen.

Zwei Feinheiten verdienen darüber hinaus Beachtung. Erstens erfasst § 65 Abs. 2 BSIG vorsätzliches und fahrlässiges Handeln, ohne im Höchstmaß zu unterscheiden. § 65 Abs. 9 BSIG schließt die Anwendung des § 17 Abs. 2 OWiG nur für die Fälle des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 aus. Für den Registrierungsverstoß nach Nummer 6 bleibt § 17 Abs. 2 OWiG damit anwendbar; der Wortlaut spricht deutlich dafür, dass sich das Höchstmaß bei fahrlässigem Handeln auf 250.000 Euro halbiert. Solange keine abweichende Behörden- oder Gerichtspraxis vorliegt, ist das eine systematische Auslegung, keine gesicherte Rechtslage – für die Verteidigung im Bußgeldverfahren aber ein tragfähiger Ansatz.

Zweitens richtet sich das Bußgeld gegen die Einrichtung. Die Geschäftsleitung ist nicht Adressatin dieses Tatbestands. Ihr Risiko liegt auf der zivilrechtlichen Innenseite: § 38 Abs. 2 BSIG knüpft an eine Verletzung der Pflichten aus Absatz 1 an und verweist auf § 43 Abs. 2 GmbHG beziehungsweise § 93 Abs. 2 AktG. Ob und unter welchen Voraussetzungen ein Unternehmensbußgeld gegenüber der Geschäftsleitung regressiert werden kann, folgt daraus nicht unmittelbar und ist umstritten. Ob die Business Judgement Rule des § 93 Abs. 1 Satz 2 AktG bei den gebundenen Pflichten des § 38 BSIG überhaupt eröffnet ist, wird verbreitet verneint, ist aber gerichtlich nicht geklärt.

11.1 Verwaltungsrechtliche Durchsetzung

Vor dem Bußgeld steht regelmäßig die Anordnung. Das Bundesamt kann nach § 61 BSIG gegenüber besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen anordnen, nach Absatz 5 die Einhaltung der Anforderungen überprüfen und Unterlagen sowie Auskünfte verlangen sowie Mängelbeseitigung aufgeben; gegenüber wichtigen Einrichtungen setzt § 62 BSIG Anhaltspunkte für einen Verstoß voraus. Bleibt eine vollziehbare Anordnung unbefolgt, tritt der Verwaltungszwang nach § 63 BSIG hinzu. Kommt eine besonders wichtige Einrichtung Anordnungen trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde nach § 61 Abs. 9 BSIG als letztes Mittel die fachrechtliche Genehmigung vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen. Die Gesetzesbegründung stellt klar, dass mildere Mittel zuvor erfolglos auszuschöpfen sind, sich dies aber erübrigen kann, wenn die Unzuverlässigkeit bereits aus vorherigen Verwaltungsverfahren bekannt ist.^[25]

11.2 Warum die UWG-Flanke hier nicht das Erstrisiko ist

Bei vielen regulatorischen Themen ist für deutsche Unternehmen nicht das Behördenverfahren das Erstrisiko, sondern die wettbewerbsrechtliche Abmahnung. Hier liegt es anders, und das sollte man deutlich sagen: § 33 BSIG regelt nicht das „Wie“ des Marktverhaltens, sondern organisiert das Verhältnis zwischen Einrichtung und Aufsichtsbehörde. Nach den allgemeinen Anforderungen des § 3a UWG, der eine zumindest auch marktverhaltensbezogene Schutzrichtung verlangt, spricht deshalb viel gegen eine Einordnung als Marktverhaltensregelung.^[10] Rechtsprechung speziell zu § 33 BSIG liegt nicht vor; die Einschätzung ist eine eigene Bewertung.

Lauterkeitsrechtlich relevant wird das Thema erst auf der Kommunikationsebene: Wer mit „NIS-2-konform“, „NIS-2-registriert“ oder gar „BSI-zertifiziert“ wirbt, ohne dass dies zutrifft, kann eine Irreführung nach §§ 5, 5a UWG begründen; maßgeblich sind Aussagegehalt, Kontext und Verständnis der angesprochenen Verkehrskreise.^[12] Eine Registrierung ist kein Prüfsiegel, kein Statusbescheid und keine Bestätigung des Sicherheitsniveaus – und darf auch nicht als solche beworben werden.

11.3 Wo der wirtschaftliche Druck tatsächlich entsteht

Die folgenden vier Punkte beruhen auf Beobachtungen aus der Beratungspraxis, nicht auf veröffentlichten Erhebungen.

12. Bewertung: was überzeugt, was offen bleibt

Die gesetzliche Konstruktion ist in sich stimmig. Wer den Aufsichtsraum kennen muss, braucht ein Register; wer ein Register braucht, muss dessen Vernachlässigung eigenständig sanktionieren können. Dass der Registrierungsverstoß mit 500.000 Euro deutlich unterhalb der materiellen Sicherheitsverstöße angesiedelt ist, überzeugt ebenfalls: Eine unterlassene Stammdatenmeldung gefährdet die Versorgungssicherheit nicht in gleicher Weise wie ein fehlendes Risikomanagement. Auch die Verhältnismäßigkeitsklausel des § 30 Abs. 1 Satz 2 BSIG ist gelungen, weil sie kleineren Einrichtungen einen belastbaren Gestaltungsspielraum lässt, statt einen Einheitsstandard zu verordnen.

Kritisch zu sehen ist die Vollzugslinie. Eine gegenüber Verbänden kommunizierte Erwartung, die auf den öffentlichen Informationsseiten der Behörde nicht erscheint, erreicht gerade jene Unternehmen nicht, die kein Verbandsmitglied sind – also typischerweise die kleineren, erstmals regulierten Einrichtungen, um die es geht. Sie erzeugt zudem eine Erwartungshaltung, die sie rechtlich nicht einlösen kann: Aus einem Nachholtermin folgt kein Sanktionsverzicht.

12.1 Sieben Fragen, die derzeit niemand belastbar beantworten kann

Keine dieser Fragen rechtfertigt es, die Registrierung weiter aufzuschieben. Alle sieben rechtfertigen es, die eigene Position schriftlich festzuhalten, bevor sie jemand anderes bestimmt.

13. Strategische Einordnung und Ausblick

Die Normfunktion des § 33 BSIG liegt nicht in einem Register um seiner selbst willen. Die Daten ermöglichen Zuständigkeit, Erreichbarkeit, sektorale Zuordnung, grenzüberschreitende Koordination und eine risikobasierte Aufsicht. Deshalb verlangt die Norm auch öffentliche IP-Adressbereiche, relevante Mitgliedstaaten und zuständige Fachaufsichten – und deshalb hat der Gesetzgeber dem Bundesamt in § 33 Abs. 3 BSIG die Befugnis eingeräumt, die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vorzunehmen, wenn die Pflicht nicht erfüllt wird. § 33 Abs. 4 BSIG ergänzt eine Auskunfts- und Vorlagepflicht bereits dann, wenn Tatsachen die Annahme rechtfertigen, dass eine Einrichtung ihrer Registrierungspflicht nicht nachkommt.^[2]

13.1 Absehbare Entwicklungen mit konkretem Anknüpfungspunkt

13.2 Was das für die Planung der nächsten 12 bis 24 Monate bedeutet

Wirtschaftlich liegt der Unterschied zwischen enger und weiter Auslegung vor allem in der Bezugsgröße. Wer § 28 Abs. 4 Satz 2 BSIG eng liest und die gesamte Gruppe zurechnet, reguliert Tochtergesellschaften mit, die er bei nachgewiesener IT-Unabhängigkeit hätte heraushalten können – und trägt deren Dokumentations-, Melde- und Schulungslast dauerhaft. Wer umgekehrt zu weit liest und die Unabhängigkeit ohne technischen Nachweis behauptet, riskiert, dass eine ganze Gruppe nachträglich als unregistriert gilt. Die falsche Wette kostet in beide Richtungen; der dokumentierte Nachweis der IT-Trennung ist deshalb die lohnendste einmalige Investition in diesem Themenfeld.

13.3 Abschlussprüfung vor Schließung des Findings

14. Häufige Fragen