NIS2-Fristen: Was bis wann nachweisbar vorliegen muss

Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Für Registrierung, Vorfallmeldungen, Datenpflege und besondere Nachweise müssen Sie die Fristen anhand unterschiedlicher Auslöser berechnen. Es gibt keinen gemeinsamen Termin, an dem alle Unternehmen ein Zertifikat vorlegen müssen. Führen Sie die Fristen getrennt und bewahren Sie die jeweiligen Erfüllungsbelege auf.

Autor: Chris Müller. Rechtsstand und redaktionelle Prüfung: 5. September 2026.

Das Inkrafttreten und den vorgesehenen Zugang für Registrierung und Meldung bestätigt das BSI in seinen Informationen zu NIS2. Die folgenden Fristen beziehen sich auf die allgemeinen Regeln des BSIG. Prüfen Sie vor der Übernahme in den eigenen Fristenplan Ihre Einrichtungsart und mögliche sektorspezifische Ausnahmen nach § 28 BSIG.

Fristen und Erfüllungsbelege

Aufgabe	Auslöser und äußerste Frist	Aufzubewahrender Beleg
Registrierung nach § 33 Absatz 1	Drei Monate ab erstmaliger oder erneuter Betroffenheit; entsprechende Regel für Registry-Dienste	Begründeter Stichtag und Übermittlungsbestätigung
Frühe Erstmeldung	Unverzüglich, spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls	Zeitpunkt der Kenntnis und versandte Meldung
Vorfallmeldung	Unverzüglich, spätestens 72 Stunden nach derselben Kenntnis	Bewertung, Aktualisierung und Versandbeleg
Abschlussmeldung	Spätestens einen Monat nach Übermittlung der Vorfallmeldung; Sonderregel bei andauerndem Vorfall	Bericht, Abschlussstatus und Versandbeleg
Änderung gewöhnlicher Registrierungsdaten	Unverzüglich, spätestens zwei Wochen nach Kenntnis der Änderung	Änderungsdatum, Kenntnisdatum und Übermittlung
Schulung der Geschäftsleitung	Regelmäßig; § 38 enthält keinen einheitlichen Kalendertag	Inhalte, Teilnahme und nächster überprüfter Schulungsbedarf

Die Rechtsgrundlagen der Tabelle sind § 33 BSIG, § 32 BSIG und § 38 BSIG. „Unverzüglich“ verlangt Handeln ohne vermeidbare Verzögerung. Die äußerste Frist ist deshalb kein frei verfügbares Wartefenster.

Registrierung: Der Beginn der Betroffenheit zählt

Für Einrichtungen, die bereits am 6. Dezember 2025 erstmals unter die allgemeine Registrierungspflicht fielen, führte die Dreimonatsregel zum 6. März 2026. Wer erst später betroffen wird, berechnet die Frist anhand dieses späteren Eintritts. Wenn Sie Ihre Betroffenheit erst beim Ausfüllen eines Fragebogens im September entdecken, bleibt eine bereits im Dezember entstandene Pflicht bestehen. Berechnen Sie die Frist ab dem Eintritt des rechtlichen Status.

Zur Vorbereitung können Sie die Anleitung zur BSI-Registrierung nutzen. Sammeln Sie Stammdaten, sektorale Zuordnung und Kontaktangaben vor dem Einstieg in das Portal. Prüfen Sie anschließend, ob die Registrierung tatsächlich übermittelt wurde. Ein angelegtes Benutzerkonto oder ein gespeicherter Entwurf genügt als Erfüllungsbeleg nicht.

Für bestimmte digitale Einrichtungsarten sieht § 34 BSIG zusätzliche Registrierungsangaben vor. Auch hier beträgt die Ausgangsfrist drei Monate ab dem erfassten Status. Änderungen dieser besonderen Angaben sind unverzüglich, spätestens binnen drei Monaten ab Eintritt der Änderung mitzuteilen. Diese Regel darf nicht mit der Zweiwochenfrist für gewöhnliche Registrierungsdaten vermischt werden.

Vorfallmeldungen: Zwei Fristen beginnen gleichzeitig

Die 24- und 72-Stunden-Frist beginnen beide mit der Kenntnis eines erheblichen Sicherheitsvorfalls. Die zweite Frist läuft also nicht erst nach der Erstmeldung an. Der Begriff „erheblich“ erfasst auch Vorfälle, die schwerwiegende Störungen, finanzielle Verluste oder erhebliche Schäden bei anderen verursachen können. Die allgemeine Definition steht in § 2 Nummer 11 BSIG; zusätzliche Konkretisierungen sind je nach Einrichtungsart zu prüfen.

Erlangt die Einrichtung beispielsweise an einem Montag um 10 Uhr entsprechende Kenntnis, liegen die äußersten Fristenden bei Dienstag 10 Uhr und Donnerstag 10 Uhr. Die Stundenfristen laufen auch an Wochenenden, während des Urlaubs und während interner Freigaberunden weiter. Dokumentieren Sie deshalb Erreichbarkeit, Stellvertretung und eine verantwortliche Person, die bei unvollständigem Erkenntnisstand melden kann.

Die Monatsfrist für den Abschlussbericht knüpft dagegen an die Übermittlung der Meldung nach § 32 Absatz 1 Nummer 2 an. Ein Monat ist nicht pauschal mit 30 Tagen gleichzusetzen. Dauert der Vorfall dann noch an, ist eine Fortschrittsmeldung vorgesehen; die Abschlussmeldung folgt nach abschließender Bearbeitung. § 32 Absatz 2 nennt dafür keine zusätzliche konkrete Monatsfrist. Zwischenmeldungen können auf Ersuchen des BSI notwendig werden. Welche Inhalte Sie jeweils übermitteln müssen, lesen Sie in der Anleitung zur Meldekaskade.

Umsetzungspflicht und Nachweistermin auseinanderhalten

§ 30 BSIG verpflichtet betroffene Einrichtungen zu geeigneten Maßnahmen und deren Dokumentation. Eine allgemeine dreijährige Umsetzungsfrist für den Mittelstand enthält die Vorschrift nicht. Ein späterer Audit- oder Nachweistermin darf deshalb nicht als Aufschub für Risikomanagement oder Vorfallbereitschaft eingeplant werden.

Besondere Regeln stehen in § 39 BSIG für Betreiber kritischer Anlagen. Das BSI legt den ersten Nachweiszeitpunkt fest; das Gesetz unterscheidet erstmalige und erneute Einstufung sowie anschließende Dreijahresintervalle. Für bisherige Betreiber enthält Absatz 3 eine Übergangsregel mit Bezug zum letzten Nachweis. Absatz 4 nimmt eine bestimmte behördlich festgelegte Betreibergruppe aus. Daraus folgt kein allgemeiner Auditkalender für sämtliche NIS2-Einrichtungen.

Auch § 61 Absatz 3 BSIG enthält zeitliche Grenzen bestimmter behördlicher Nachweisanforderungen. Andere Aufsichtsbefugnisse bleiben gesondert zu betrachten. Für wichtige Einrichtungen beschreibt § 62 BSIG die anlassbezogene Überprüfung. Zur Einordnung können Sie den NIS2-Framework-Überblick heranziehen.

Die Übergangsregel in § 66 gehört in jede KRITIS-Prüfung

§ 66 BSIG verschiebt die Anwendung bestimmter Definitionen sowie von § 33 Absatz 2 und 5 bis zum Inkrafttreten der dort bezeichneten Rechtsverordnung zum KRITIS-Dachgesetz. Bis dahin gelten die ausdrücklich genannten früheren Fassungen weiter. Das betrifft insbesondere die Anlagenregistrierung und besondere Änderungsdaten kritischer Anlagen.

Die fortgeltende ursprüngliche Fassung unterscheidet jährliche Aktualisierungen von Versorgungskennzahlen und Typen kritischer Komponenten von allen anderen Änderungen mit unverzüglicher Übermittlung und äußerster Zweiwochenfrist. Sie ist im verkündeten Gesetz, BGBl. 2025 I Nr. 301, § 33 Absatz 5 nachlesbar. Tragen Sie für KRITIS-Sonderfälle deshalb Rechtsfassung und Verordnungsauslöser in die Fristenakte ein.

Eine Fristenakte, die im Betrieb funktioniert

Erfassen Sie pro Pflicht den Auslöser, seinen Zeitpunkt, die Berechnungsregel, den Verantwortlichen und seine Vertretung. Ergänzen Sie einen internen Vorlauf sowie einen Link zum Erfüllungsnachweis. Markieren Sie die Pflicht erst nach bestätigter Übermittlung als erfüllt. Dokumentieren Sie bei verpassten Terminen den tatsächlichen Verlauf und die nachgeholte Erfüllung, ohne Angaben rückzudatieren.

Prüfen Sie in einer kurzen Probe, wer außerhalb der üblichen Arbeitszeit einen erheblichen Vorfall bewerten, melden und die Übermittlung belegen kann. Sind die benötigten Angaben auf mehrere Bereiche verteilt, müssen die Beteiligten sie zusammenführen. Zur Organisation dieser Zusammenarbeit können Sie sich bei KaitoSec für den Mittelstand informieren.

Häufige Fragen

Gilt der 6. März 2026 für jedes Unternehmen?

Er folgt aus der Dreimonatsregel bei Betroffenheit ab dem 6. Dezember 2025. Später eintretende Betroffenheit hat ihren eigenen Fristauslöser.

Sind 72 Stunden zusätzlich zu den ersten 24 Stunden gemeint?

Nein. Beide Fristen beginnen mit der Kenntnis desselben erheblichen Sicherheitsvorfalls.

Müssen alle NIS2-Einrichtungen alle drei Jahre ein Audit einreichen?

Nein. § 39 betrifft besondere Nachweispflichten für Betreiber kritischer Anlagen. Aufsicht und sonstige Nachweise sind getrennt zu prüfen.

Verschiebt ein offener Maßnahmenplan die gesetzlichen Pflichten?

Nein. Mit dem Maßnahmenplan dokumentieren Sie, wie Sie eine Lücke bearbeiten. Eine zusätzliche gesetzliche Umsetzungsfrist erhalten Sie dadurch nicht.