Wie registriere ich mein Unternehmen als NIS2-pflichtige Einrichtung

Die Registrierung läuft über die nationale Aufsichtsbehörde, nicht über diese Plattform

Die Registrierung ist ein eigenständiger, formeller Schritt: eine Entität, die unter das Gesetz zur Cybersicherheit als wesentlich oder wichtig eingestuft ist, meldet sich bei der zuständigen Aufsichtsbehörde an, über das dafür eingerichtete Portal. Dies geschieht unabhängig vom Ausfüllen von Richtliniendokumenten oder der Umsetzung von Maßnahmen — es ist der administrative Schritt, durch den eine Organisation bei der Aufsichtsbehörde als verpflichtete Entität erfasst wird. Das genaue Verfahren, der Zeitpunkt, zu dem dies geschehen muss, und welche Daten dazugehören, sind auf den Kanälen der Aufsichtsbehörde selbst und im Gesetz zur Cybersicherheit beschrieben.

Bevor die Registrierung in Frage kommt, ist es sinnvoll festzustellen, ob eine Organisation überhaupt in diese Kategorie fällt; Woher weiß ich, ob mein Unternehmen unter die NIS2-Richtlinie fällt liefert dafür ein erstes Bild, und der Unterschied zwischen den beiden Kategorien, die registriert werden müssen, wird erläutert auf Was ist der Unterschied zwischen einer wesentlichen und einer wichtigen Einrichtung. Wer einmal weiß, dass eine Registrierung erforderlich ist, hat normalerweise die nächste praktische Frage: Was muss alles vorhanden sein, bevor die Registrierung eingereicht wird, und wer in der Organisation ist dafür zuständig. Dies überlappt sich mit der Einrichtung des Cybersicherheits-Dossiers, in dem für jede Maßnahme ein Status und ein Verantwortlicher festgehalten werden — siehe Wer muss in meinem Unternehmen für eine Maßnahme verantwortlich sein. Diese Plattform bereitet die Texte und Daten für die Registrierung vor, reicht diese aber niemals im Namen des Kunden beim Portal der Aufsichtsbehörde ein; das bleibt immer ein eigenständiger Schritt der Organisation selbst.

Warum die Registrierungspflicht von der Cybersicherheitspflicht getrennt ist

Die Registrierungspflicht und die Cybersicherheitspflicht sind zwei unterschiedliche Verpflichtungen, die die NIS2-Richtlinie wesentlichen und wichtigen Entitäten auferlegt: Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 beschreibt die zehn Maßnahmen, die zusammen die Cybersicherheitspflicht bilden, während die Meldepflicht und die Registrierung separat geregelt und in Deutschland im Gesetz zur Cybersicherheit umgesetzt sind. Das NCSC gibt Orientierung, wie die Cybersicherheitspflicht und die Meldepflicht in der Praxis zusammenhängen, und die Aufsichtsbehörde, die für den betreffenden Sektor zuständig ist, ist diejenige, bei der die Registrierung selbst stattfindet.