NIS2: der Stichtag 31. Juli

Wie der Stand wirklich ist

Der 31. Juli 2026 wird häufig als Fristverlängerung dargestellt. Das ist er nicht. Die gesetzliche Registrierungsfrist endete am 6. März 2026; wer sie versäumt hat, ist seitdem im Verzug. Das BSI hat lediglich signalisiert, dass es Registrierung und Umsetzung bis zum 31. Juli erwartet — eine aufsichtsrechtliche Haltung, keine Gesetzesänderung.

Praktisch heißt das: spät registrieren ist besser als nicht registrieren, und die Exposition endet nicht am 1. August. Für die verspätete Registrierung sieht das Gesetz einen eigenen Bußgeldrahmen vor.

Die 10-Punkte-Checkliste

Zehn Fragen, die vor Ende Juli beantwortet sein sollten. Die meisten kosten Minuten. Die anderen sind genau die, von denen man jetzt wissen will — und nicht erst im Vorfall.

1. 01

   Betroffenheit prüfen

   Die Betroffenheit ergibt sich aus Sektor und Größenschwellen und ist selbst festzustellen. Es kommt kein Bescheid. Wer an eine betroffene Einrichtung liefert, liest zusätzlich Punkt 10.

2. 02

   Beim BSI registrieren

   Die Registrierung läuft über das BSI-Registrierungsportal. Wer den 6. März versäumt hat: trotzdem registrieren — die Exposition wächst mit der Verzögerung, sie verfällt nicht.

3. 03

   Verantwortliche Geschäftsleitung benennen

   NIS2 knüpft Pflichten und persönliche Haftung an die Geschäftsleitung. Festhalten, wer sie trägt — und dass eine Unterweisung stattgefunden hat.

4. 04

   Risikomanagementmaßnahmen dokumentieren

   Das Gesetz benennt einen konkreten Katalog von Risikomanagementmaßnahmen. Entscheidend ist, dass die Dokumentation existiert, bevor sie gebraucht wird — nicht, dass sie perfekt ist.

5. 05

   Erheblichen Sicherheitsvorfall überhaupt erkennen können

   Die Meldepflicht setzt Erkennung voraus. Eine 24-Stunden-Frist ist nicht einhaltbar, wenn man den Vorfall eine Woche später vom Kunden erfährt.

6. 06

   Die 24-Stunden-Erstmeldung proben

   Der Meldeweg umfasst die Erstmeldung binnen 24 Stunden, eine Folgemeldung nach 72 Stunden und die Abschlussmeldung binnen eines Monats. Klären, wer sie schreibt und welche Nachweise beiliegen.

7. 07

   Externe Angriffsfläche mitdenken, nicht nur interne Systeme

   Eine geklonte Login-Seite auf einer Lookalike-Domain liegt außerhalb des Perimeters und zielt direkt auf Kunden, Nutzer und Beschäftigte. Sie gehört zur externen Angriffsfläche, die man kennen soll.

8. 08

   Nachweise vorhalten, die man herausgeben kann

   Screenshots, DNS- und Zertifikatsdaten, Zeitstempel, nachvollziehbares Verdict. Eine Meldung mit Nachweisen ist ein anderes Gespräch als eine Meldung aus der Erinnerung.

9. 09

   Notfall- und Krisenkontakte prüfen

   Erreichbarkeit um 2 Uhr nachts zählt mehr als das Dokument. Die Kontakte verifizieren, nicht die Datei.

10. 10

    Antizipieren, was Kunden fragen werden

    Betroffene Einrichtungen müssen die Sicherheit in ihrer Lieferkette adressieren. Wer an sie liefert, bekommt den Fragebogen — und Domain-Impersonation steht darauf.

Wo Domain-Impersonation-Monitoring hineinpasst

Impersona ist keine NIS2-Compliance-Suite und behauptet nicht, Sie compliant zu machen. Wir decken einen konkreten Ausschnitt ab: den Fall, dass jemand eine Domain registriert, die aussieht wie Ihre, und damit auf Ihre Nutzer zielt.

Zuerst die eigene Exposition sehen

Kostenlose Prüfung Ihrer Domain: Sie sehen die Lookalike-Domains, die es jetzt gibt, deren Status und ein Verdict zu den relevanten. Für das Ergebnis ist kein Konto nötig.

Fragen

Wurde die NIS2-Registrierungsfrist auf den 31. Juli 2026 verlängert?

Nein. Die gesetzliche Registrierungsfrist endete am 6. März 2026. Das BSI hat erkennen lassen, dass es Registrierung und Umsetzung bis zum 31. Juli 2026 erwartet — das ist behördliche Nachsicht, keine Fristverlängerung. Wer den 6. März versäumt hat, ist seitdem im Verzug.

Wie viele deutsche Einrichtungen sind betroffen?

Rund 30.000 Einrichtungen in den vom Gesetz benannten Sektoren. Zur ursprünglichen Frist am 6. März 2026 waren etwa 11.500 registriert, bis Ende Mai 2026 etwa 18.500 — es fehlen also in der Größenordnung 10.500.

Welche Bußgelder drohen?

Für wesentliche Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 %. Für die verspätete Registrierung gilt ein eigener Bußgeldrahmen. Die Geschäftsleitung haftet für die Risikomanagementpflichten persönlich.

Ist eine Lookalike-Domain ein meldepflichtiger Vorfall?

Das hängt von der Auswirkung ab, und die Bewertung liegt bei Ihnen: eine geparkte Lookalike-Domain ist in der Regel kein erheblicher Sicherheitsvorfall, ein aktiver Credential-Harvesting-Klon Ihrer Login-Seite gegen Ihre Kunden kann es sehr wohl sein. In beiden Fällen setzt die Meldepflicht voraus, dass Sie den Vorfall erkennen und belegen können — genau das adressiert Monitoring.

Macht Impersona meine Organisation NIS2-konform?

Nein, und das würden wir auch nicht behaupten. NIS2 umfasst Governance, Lieferkette, Business Continuity, Vorfallsbehandlung und mehr. Impersona deckt externes Domain-Impersonation-Monitoring und den zugehörigen Nachweispfad ab — ein Beitrag zu Risikomanagement- und Meldepflichten, nicht die Pflicht als Ganzes.

Quellen

• SCHUTZWERK — NIS-2: Registrierungsstand und Nachfrist (2026-07-26)
• secjur — NIS2: Pflichten, Fristen, Bußgelder (2026-07-26)
• BSI — NIS-2 registration portal and guidance (2026-07-26)

Diese Seite ist Information, keine Rechtsberatung. Die Angaben wurden zum genannten Datum gegen die oben verlinkten Quellen geprüft; die NIS2-Aufsichtspraxis entwickelt sich weiter — bitte vor einer Entscheidung erneut prüfen. Für Ihre konkreten Pflichten sprechen Sie mit Ihrer Rechtsberatung. (2026-07-26)