BSI startet NIS-2-Durchsetzung – Audits folgen ab 2027

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) will noch im vierten Quartal 2026 Einrichtungen wegen offensichtlich versäumter NIS-2-Registrierungen ansprechen; ab dem ersten Quartal 2027 sollen einzelne angeordnete Audits folgen. Der ChannelPartner-Bericht vom 8. Oktober 2026 zitiert dazu BSI-Abteilungsleiter Timo Hauschild: „Noch im vierten Quartal beginnen wir eine Durchsetzungsinitiative.“ Die ersten Kontakte sollen Einrichtungen gelten, bei denen die Registrierungspflicht aus Sicht der Behörde offensichtlich ist.

Eine sofortige Geldbuße ist für diese Ansprache nicht angekündigt. Die Einordnung von CMD Datenschutz gibt Hauschilds Aussage „Da wird es nicht sofort ein Bußgeld geben“ wieder und nennt für den 30. September 2026 insgesamt 20.373 Registrierungen, darunter 232 Nebenniederlassungen, bei knapp 30.000 erwarteten betroffenen Einrichtungen. Der Zeitplan ist bislang aus einem Pressegespräch bekannt; eine eigene BSI-Mitteilung mit Einzelheiten zum Verfahren liegt nicht vor. Für betroffene Unternehmen sind die Ansprache wegen der Registrierung und eine spätere Anordnung zur Sicherheitsprüfung zwei verschiedene Vorgänge.

Warum das BSI bei der Registrierung ansetzt

Die Registrierungspflicht gilt bereits. Das geltende BSI-Gesetz regelt in § 33 die Registrierung besonders wichtiger und wichtiger Einrichtungen, in § 30 ihre Risikomanagementmaßnahmen samt Dokumentation, in § 61 mögliche Auditanordnungen gegenüber einzelnen besonders wichtigen Einrichtungen und in § 65 Bußgeldtatbestände. Der angekündigte Beginn bei ausgebliebenen Registrierungen knüpft damit an eine bestehende Pflicht an. Ein Unternehmen muss seine Betroffenheit anhand seiner Tätigkeit und der gesetzlichen Kriterien beurteilen; eine persönliche Aufforderung der Behörde ist dafür keine Voraussetzung.

Die veröffentlichten Zahlen zeigen, weshalb die Behörde bei diesem Punkt ansetzen will. Aus der Differenz zwischen Registrierungen und erwarteten Einrichtungen lässt sich die Zahl säumiger Unternehmen jedoch nicht exakt berechnen: Die registrierte Gesamtzahl enthält Nebenniederlassungen, während die Zahl der voraussichtlich Betroffenen eine Schätzung ist. Für die Einstufung einer einzelnen Einrichtung sind weder diese Differenz noch ihre Zugehörigkeit zu einer Branche allein ausschlaggebend. Entscheidend sind die konkrete Einrichtungsart und die weiteren gesetzlichen Voraussetzungen.

Vom Anschreiben zur möglichen Geldbuße

Hauschild beschreibt den Beginn des Verfahrens mit einer Anhörung; am Ende kann eine Geldbuße stehen. Das ist eine mögliche Abfolge, kein Automatismus für jede angeschriebene Einrichtung. Eine einheitliche Antwortfrist für die angekündigten Schreiben wurde nicht genannt. Was im Einzelfall vorzulegen ist und bis wann die Einrichtung reagieren muss, ergibt sich erst aus der behördlichen Aufforderung.

1. Ansprache: Das BSI wendet sich an eine Einrichtung, deren Registrierung nach seiner Einschätzung offensichtlich fehlt. Damit wird die behördliche Einschätzung für das Unternehmen konkret.
2. Anhörung: Die Einrichtung kann ihre Tätigkeit, ihre Einstufung und den Stand einer Registrierung erläutern. Bestreitet sie die Pflicht, ist eine nachvollziehbare Begründung anhand ihrer tatsächlichen Verhältnisse relevant.
3. Abgleich der Angaben: Besteht die Pflicht, sind übermittelte Registrierungsdaten und eine gegebenenfalls nachgeholte Registrierung für die Antwort von Bedeutung. Das Gesetz erlaubt dem BSI unter bestimmten Voraussetzungen auch, eine nicht erfüllte Registrierung selbst vorzunehmen und Unterlagen zur Bewertung anzufordern.
4. Mögliches Bußgeldverfahren: Ergibt sich ein Verstoß, kann das Verfahren weitergehen. Die Anhörung ist Gelegenheit zur Stellungnahme; sie ist weder schon eine Geldbuße noch eine Zusage, dass ein festgestellter Verstoß folgenlos bleibt.

Für die Antwort auf ein Anschreiben zählt deshalb mehr als die bloße Behauptung, nicht betroffen zu sein. Eine Einrichtung sollte ihre Einordnung mit den einschlägigen Tätigkeiten und Unternehmensdaten erklären können. Hat sie sich bereits registriert, lässt sich der Stand durch die übermittelten Angaben belegen. Dieser Abgleich betrifft zunächst die Registrierung; über ein Audit der Sicherheitsmaßnahmen wird gesondert entschieden.

Wie die angekündigten Audits ausgewählt werden sollen

Die späteren Anordnungen sollen einzelne Einrichtungen treffen und jeweils einen thematischen Schwerpunkt haben. Für den KRITIS-Bereich ist ein Beginn bei besonders wichtigen Einrichtungen in Sektoren mit dem größten gesehenen Bedarf angekündigt. Damit ist weder ein gemeinsamer Prüftermin für alle registrierten Unternehmen noch eine feste Reihenfolge einzelner Sektoren beschrieben. Welche Einrichtungen zuerst eine Anordnung erhalten, wird erst mit den konkreten Entscheidungen erkennbar.

Bei einem angeordneten Audit muss die ausgewählte Einrichtung ihre IT-Sicherheit durch eine unabhängige Stelle prüfen lassen können. Der gesetzliche Rahmen unterscheidet dabei zwischen besonders wichtigen Einrichtungen, gegenüber denen solche Audits einzeln angeordnet werden können, und wichtigen Einrichtungen, für deren Überprüfung zusätzliche Voraussetzungen gelten. Eine Registrierung beantwortet nur, ob die erforderlichen Angaben zur Einrichtung vorliegen. Ob die Sicherheitsmaßnahmen wirksam umgesetzt und dokumentiert sind, ist eine andere Frage.

Eine Anordnung wird auch den Prüfgegenstand für die betroffene Einrichtung konkretisieren müssen. Der angekündigte Themenfokus kann etwa bedeuten, dass nicht sämtliche Maßnahmen gleichzeitig im Mittelpunkt stehen. Bis solche Anordnungen vorliegen, sollten Unternehmen aus der allgemeinen Ankündigung keinen verbindlichen Fragenkatalog oder eine bestimmte Prüffrist ableiten.

Welche Nachweise für eine Prüfung zählen

Die Vorbereitung auf ein mögliches Audit beginnt bei den bereits geltenden Pflichten. Das Gesetz verlangt geeignete und wirksame Risikomanagementmaßnahmen und ihre Dokumentation. Es nennt unter anderem Risikoanalyse, Behandlung von Sicherheitsvorfällen, Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Umgang mit Schwachstellen sowie Verfahren zur Bewertung der Wirksamkeit. Bei einer Prüfung muss erkennbar sein, wie eine festgelegte Maßnahme im Betrieb umgesetzt wird.

Eine geordnete Sammlung kann die Einordnung der Einrichtung, den Registrierungsstatus und die Sicherheitsnachweise getrennt abbilden. Für die Sicherheitsseite sind insbesondere folgende Unterlagen relevant:

• Risikoanalysen und Sicherheitskonzepte für die Systeme und Prozesse, mit denen die betroffenen Dienste erbracht werden;
• festgelegte Verfahren zur Vorfallbehandlung sowie Unterlagen zu Backups, Wiederherstellung und Krisenmanagement;
• Angaben zu sicherheitsrelevanten Abhängigkeiten von unmittelbaren Anbietern und Dienstleistern;
• Verfahren für Schwachstellenmanagement, Zugriffskontrolle und Mehr-Faktor-Authentifizierung;
• Ergebnisse von Wirksamkeitsprüfungen, dokumentierte Mängel und der Stand ihrer Behebung.

Diese Zusammenstellung ist eine Arbeitsliste aus den gesetzlichen Anforderungen, kein veröffentlichter Prüfkatalog für die angekündigten Audits. Ihr Nutzen liegt in der Verbindung zwischen Regel und Nachweis: Ein Konzept zur Wiederherstellung zeigt beispielsweise das vorgesehene Verfahren, ein dokumentierter Test dessen tatsächliche Erprobung. Welche dieser Belege eine Einrichtung vorlegen muss, wird vom Schwerpunkt und Inhalt einer möglichen Anordnung abhängen. Die ersten Einzelanordnungen werden damit zugleich zeigen, welche Sicherheitsthemen das BSI in dieser Phase vorrangig prüfen lässt.

Lesen Sie auch:

• Nasdaq investiert 100 Millionen Dollar – Aktien-Token sollen 2027 folgen
• Emerald AI wird zum Einhorn – Rechenzentren sollen dem Stromnetz folgen
• OpenAI unterstützt Kaliforniens SB 1119 – KI-Audits könnten Pflicht werden