§ 33 BSIG: die Registrierung beim BSI und ihre rollierende Drei-Monats-Frist
Die meistgestellte Frage zur Registrierung lautet, ob die Frist abgelaufen ist. Sie ist die falsche Frage: Es gibt keinen Stichtag, den man verpassen kann — es gibt eine Frist, die jedes Mal neu anläuft, wenn eine Einrichtung in den Anwendungsbereich fällt.
3 Monate, ab wann genau
§ 33 Abs. 1 BSIG verpflichtet besonders wichtige Einrichtungen, wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister, dem Bundesamt binnen 3 Monaten bestimmte Angaben zu übermitteln — und zwar ab dem Zeitpunkt, zu dem sie erstmals oder erneut als solche Einrichtung gelten.
Diese beiden Wörter tragen die ganze Konstruktion. Die Pflicht ist rollierend: Ein Unternehmen, das über eine Schwelle des § 28 BSIG wächst, schuldet die Registrierung drei Monate später. Fällt es wieder darunter und wächst Jahre danach erneut hinein, beginnt die Frist von vorn. Wer die Registrierung als einmalige Aufgabe abhakt, verliert genau diesen Fall aus dem Blick — und es ist der Fall, der wachsende Mittelständler betrifft.
Für bestimmte Einrichtungsarten der digitalen Infrastruktur und der digitalen Dienste — DNS-Dienste, TLD-Registries, Cloud- und Rechenzentrumsdienste, CDN, verwaltete Dienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke — gilt zusätzlich die besondere Registrierungspflicht des § 34 BSIG. Auch dort sind es 3 Monate für die Ersterfassung, bei Änderungen jedoch 3 Monate statt der 2 Wochen aus § 33 Abs. 5. Zwei Regime, zwei Zahlen — und ein Verwechseln in die falsche Richtung kostet zweieinhalb Monate.
Was übermittelt wird
Fünf Angaben nach § 33 Abs. 1 Satz 1 Nr. 1 bis 5 BSIG. Keine davon ist aufwendig — aber zwei davon liegen erfahrungsgemäß nicht griffbereit.
1. Name der Einrichtung
Einschließlich Rechtsform und, soweit vorhanden, Handelsregisternummer.
2. Anschrift und Kontaktdaten
Aktuelle Kontaktdaten, E-Mail-Adressen, öffentliche IP-Adressbereiche und Telefonnummern. Der öffentliche IP-Bereich ist die Angabe, die intern am häufigsten erst beschafft werden muss.
3. Sektor und Branche
Der relevante Sektor beziehungsweise die Branche nach Anlage 1 oder Anlage 2 des BSIG.
4. Mitgliedstaaten
Eine Auflistung der EU-Mitgliedstaaten, in denen die Einrichtung Dienste der genannten Einrichtungsarten erbringt.
5. Zuständige Aufsichtsbehörden
Die zuständigen Aufsichtsbehörden des Bundes und der Länder.
Fünf verbreitete Irrtümer
„Die Frist war im März, die ist durch."
Die Frist ist an kein Datum im Kalender geknüpft, sondern an den Tag, an dem eine Einrichtung erstmals oder erneut als besonders wichtig oder wichtig gilt. Wer im September über eine Schwelle wächst, hat bis Dezember Zeit — und wer nie registriert hat, ist nicht fristfrei, sondern überfällig.
„Wir sind knapp unter der Schwelle."
§ 28 BSIG stellt auf Beschäftigte ODER auf Umsatz UND Bilanzsumme ab. Mit 50 Beschäftigten ist eine Einrichtung im Anwendungsbereich; ebenso mit deutlich weniger Personal, aber über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme. Die Beschäftigtenzahl allein schließt niemanden aus.
„Wir haben uns registriert, damit ist das erledigt."
Änderungen der gemeldeten Angaben sind unverzüglich zu übermitteln, spätestens binnen 2 Wochen ab Kenntnis (§ 33 Abs. 5 BSIG). Ein Umzug, eine neue Ansprechpartnerin, ein geänderter IP-Bereich lösen die Pflicht aus.
„Kritische Anlage, also über § 33."
Kritische Anlagen werden nach § 33 Abs. 2 BSIG über § 8 des KRITIS-Dachgesetzes registriert — ein anderer Weg, nicht dieser.
„Wenn wir es nicht tun, passiert erst mal nichts."
Das Bundesamt kann die Registrierung nach § 33 Abs. 3 BSIG selbst vornehmen und nach § 33 Abs. 4 Unterlagen und Auskunft verlangen, wenn es Anhaltspunkte für eine Nichterfüllung hat.
Diese Seite ordnet ein und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext (BSIG, in Kraft seit 2025-12-06); zuletzt am Gesetzestext geprüft am 2026-09-01. Ob eine Einrichtung erfasst ist, entscheidet sich im Einzelfall — bei Konzernstrukturen und gemischten Tätigkeiten regelmäßig als Rechtsfrage.
Eine erste Einordnung gibt der kostenlose NIS-2-Check. Was im Ernstfall in welcher Frist zu melden ist, steht in der 24-h/72-h-Kette nach § 32 BSIG. Wenn Kunden Nachweise anfordern: der NIS2-Lieferantenfragebogen. Diese Fristen laufend überwacht: das NIS-2 Cockpit. Weitere Leitfäden im Guides-Verzeichnis.
Eine Frist, die von selbst wieder anläuft
Das NIS-2 Cockpit führt das Datum, ab dem die Kriterien erfüllt sind, rechnet die 3 Monate aus und erinnert, bevor sie ablaufen — auch beim zweiten Mal.