NIS2-Registrierung verpasst: nachholen, bevor jemand fragt

Was die Nachregistrierung im Portal konkret verlangt

Die Registrierung läuft in zwei Stufen. Zuerst beantragt die Einrichtung über den Dienst Mein Unternehmenskonto ein ELSTER-Organisationszertifikat, dann meldet sie sich damit im BSI-Portal unter portal.bsi.bund.de an und füllt das Registrierungsformular aus. Das Portal übernimmt dabei die auf Mein Unternehmenskonto hinterlegten Stammdaten, also Name, Anschrift, Rechtsform, Registerart, Registernummer und Registergericht. Die Übernahme ist bequem und zugleich eine Falle: Wenn die Stammdaten dort veraltet sind, wandert der Fehler in die Registrierung.

Die übrigen Angaben ergeben sich aus § 33 Absatz 1 BSIG: Kontaktdaten der Einrichtung mit Telefonnummer und E-Mail-Adresse, die öffentlichen IP-Adressbereiche der Einrichtung, Sektor und Teilsektor nach den Anlagen des Gesetzes, die Mitgliedstaaten der EU, in denen die Einrichtung ihre Dienste erbringt, und die zuständigen Aufsichtsbehörden. Die IP-Adressbereiche verlangt das Gesetz von jeder Einrichtung, nicht nur von Betreibern kritischer Anlagen; wer keine öffentlichen Bereiche hat, gibt das im Portal an. Das BSI stellt eine Schritt-für-Schritt-Anleitung bereit, die den Weg vom Zertifikat bis zum Eintrag beschreibt, und daneben Anleitungen zur Nutzeroberfläche und zur Meldung von Sicherheitsvorfällen. Die erste Person, die die Einrichtung registriert, erhält im Portal die Rolle Owner und kann weitere Nutzer einladen. Spätestens am Tag der Registrierung gehören zwei weitere Personen in das Portal, damit Meldungen nicht an einer Abwesenheit scheitern.

Wie das Bußgeldrisiko tatsächlich einzuordnen ist

Der Tatbestand steht in § 65 Absatz 2 Nummer 6 BSIG: Ordnungswidrig handelt, wer entgegen § 33 Absatz 1 oder Absatz 2 Satz 1 eine Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. Der Bußgeldrahmen dafür beträgt nach § 65 Absatz 5 bis zu 500.000 Euro. Das Wort „nicht rechtzeitig“ ist entscheidend: Die Verspätung ist bereits der Verstoß, und eine Nachregistrierung macht ihn nicht ungeschehen. Sie beendet ihn aber, und sie verändert die Ausgangslage für jede spätere Bewertung.

Bußgeldverfahren folgen dem Opportunitätsprinzip aus § 47 OWiG, die Behörde entscheidet also nach Ermessen, ob sie verfolgt und in welcher Höhe sie ahndet. Dauer des Verstoßes, Mitwirkung, Verschulden und wirtschaftliche Verhältnisse spielen dabei eine Rolle. Niemand kann versprechen, dass eine freiwillige Nachregistrierung folgenlos bleibt, aber eine Einrichtung, die sich selbst registriert, ihre Gründe dokumentiert und die übrigen Pflichten nachweisbar angeht, steht besser da als eine, die auf eine Anordnung des BSI wartet. Halte deshalb die eigene Zeitlinie fest: wann die Betroffenheit erkannt, wann das Zertifikat beantragt, wann die Registrierung abgeschlossen wurde. Diese drei Daten zählen in einem Anhörungsverfahren und lassen sich nachträglich schwer rekonstruieren.

Was parallel zur Registrierung sofort stehen muss

Die Registrierung ist der sichtbarste Teil der Pflichten, aber der kleinste. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen. Absatz 2 zählt die Felder auf: Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement sowie Sicherheit der Lieferkette. Dazu kommen Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Für eine Einrichtung, die gerade erst registriert, ist die ehrliche Antwort auf die meisten dieser Punkte ein Reifegrad, kein Haken. Das ist in Ordnung, solange es dokumentiert ist. Ein Maßnahmenplan mit Verantwortlichen und Terminen, abgeleitet aus einer ersten Risikoanalyse, ist der Nachweis, den eine Aufsicht auf Anordnung sehen will. Nach den Hinweisen des BSI reichen nur Betreiber kritischer Anlagen Nachweise proaktiv ein, alle anderen auf Anforderung im Fall einer Anordnung.

Die Meldekette nach § 32 BSIG verträgt keinen Aufschub, weil sie am Tag des Vorfalls funktionieren muss und nicht am Tag des nächsten Projekts: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung, alles über die gemeinsame Meldestelle von BSI und BBK. Dazu kommt die Pflicht der Geschäftsleitung aus § 38, regelmäßig an Schulungen teilzunehmen. Maßnahmenplan, Meldekette und Schulungsnachweis der Leitung bilden zusammen mit der Registrierung das Minimum, das eine Einrichtung nach Ablauf der gesetzlichen Frist vorweisen sollte.

Wo Juristen und externe Hilfe hingehören

Drei Fragen gehören nicht in die IT-Abteilung. Die erste ist die Betroffenheit in Grenzfällen: gemischte Tätigkeiten, Konzernzurechnung, Gesellschaften mit Sitz oder Diensten in mehreren Mitgliedstaaten, Sektoren mit Sonderregeln. Eine falsche Antwort ist in beide Richtungen teuer: Wer sich registriert, ohne betroffen zu sein, übernimmt Pflichten, die er sonst nicht hätte; wer sich nicht registriert, obwohl er betroffen ist, verlängert den Verstoß. Die zweite Frage ist das Bußgeldverfahren selbst. Geht eine Anhörung des BSI ein, ist das der Zeitpunkt für anwaltliche Vertretung, nicht für eine Stellungnahme aus der IT. Die dritte ist die Haftung der Geschäftsleitung nach § 38 BSIG, die sich nach dem Gesellschaftsrecht richtet; ob und wie sie sich durch Beschlüsse, Delegation oder Versicherung begrenzen lässt, gehört in eine gesellschaftsrechtliche Beratung.

Externe Dienstleister für Informationssicherheit sind dagegen bei der Umsetzung der Maßnahmen nach § 30 oft sinnvoll, vor allem dort, wo das Haus bisher keine Risikoanalyse, kein Backup-Konzept mit Wiederherstellungstest und keine Vorfallbehandlung hatte. Was sie nicht übernehmen können, ist die Verantwortung. Die Registrierung erfolgt im Namen der Einrichtung, die Meldungen auch, und die Schulung der Geschäftsleitung lässt sich nicht delegieren. Ein guter Dienstleister sagt dir das am Anfang, ein schlechter verkauft dir eine Registrierung als Compliance.