NISG 2026 · § 29
Registrierung bis 31.12.2026
Wesentliche und wichtige Einrichtungen müssen sich binnen drei Monaten nach Inkrafttreten beim Bundesamt für Cybersicherheit registrieren. Das ist keine Anmeldung zu einem Programm, sondern eine gesetzliche Pflicht mit eigenem Strafrahmen.
Frist
31.12.2026
Was das Gesetz sagt
Sie registrieren sich selbst
Die Behörde stuft Sie nicht ein und fordert Sie nicht auf. Die Einschätzung, ob Sie betroffen sind, treffen Sie selbst — und registrieren sich selbst.
Binnen drei Monaten
Die Frist läuft ab dem Inkrafttreten am 01.10.2026 und endet damit am 31.12.2026.
Auch später noch
Wer die Voraussetzungen erst später erfüllt — durch Wachstum, eine neue Tätigkeit oder eine geänderte Konzernstruktur — muss sich binnen drei Monaten ab diesem Zeitpunkt registrieren.
Änderungen laufend melden
Die registrierten Angaben sind aktuell zu halten; Änderungen sind zu melden.
Registrare zusätzlich
Anbieter von Domänennamen-Registrierungsdiensten treffen eigene Registrierungs- und Datenpflichten (§§ 29, 30), auch wenn sie nicht als wesentliche oder wichtige Einrichtung gelten.
Was noch nicht feststeht
Form und Portal der Registrierung legt eine Verordnung fest, die zum Stand dieser Seite nicht erlassen ist. Wer auf das Portal wartet, um anzufangen, wartet auf die falsche Sache: was Sie jetzt brauchen — Einstufung, Zuständigkeit, Kontaktdaten für Meldungen — ist von der Form der Registrierung unabhängig.
Was Sie jetzt tun können
- Einstufung belastbar klären: wesentlich, wichtig oder nicht betroffen.
- Verantwortlichkeit benennen — wer registriert, wer hält die Daten aktuell.
- Kontaktdaten für Meldungen festlegen, inklusive Vertretung außerhalb der Geschäftszeiten.
- Die Angaben zusammenstellen, die eine Registrierung erfahrungsgemäß verlangt: Firmendaten, Sektor, Tätigkeit, Ansprechpartner.
Wenn die Frist verstreicht
Eine versäumte Registrierung ist ein eigener Verstoß, unabhängig davon, wie gut Ihre Sicherheitsmaßnahmen sind. Der Strafrahmen für formale Verstöße reicht bis 50.000 €, im Wiederholungsfall bis 100.000 € (§ 45).
Weiterlesen
Die übrigen Pflichten, jede auf ihrer eigenen Seite.
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Jede wesentliche und jede wichtige Einrichtung — die Pflicht folgt aus der Betroffenheit, nicht aus einem Bescheid. Wenn unklar ist, welches von beiden zutrifft, beantwortet der kostenlose Check genau diese Frage.
Eine Registrierung macht aus einem Unternehmen keine betroffene Einrichtung. Maßgeblich sind Tätigkeit und Größe, nicht der Eintrag. Stellt sich später heraus, dass Sie nicht erfasst sind, dokumentieren Sie die Begründung, statt den Eintrag stillschweigend verfallen zu lassen.
Nicht mit der Arbeit, auf die es ankommt. Form und Portal regelt eine noch nicht erlassene Verordnung — die Einstufung, die benannte Verantwortlichkeit und die Kontaktdaten für Meldungen sind davon unabhängig. Genau diese Punkte haben Vorlaufzeit.
Dann laufen die drei Monate ab diesem Zeitpunkt, nicht ab 01.10.2026. Wachstum, eine neue Tätigkeit oder eine geänderte Konzernstruktur können das auslösen — deshalb lohnt es sich, die Größenfrage jährlich erneut zu stellen.
Unklar, was davon auf Sie zutrifft?
Der kostenlose Check beantwortet den Regelfall in fünf Minuten. Für alles andere ist ein Gespräch der schnellere Weg.