BSI-Registrierung: Schritt-für-Schritt im BSI-Portal (MUK + ELSTER)

Wesentliche und wichtige Einrichtungen sind nach § 33 BSIG verpflichtet, sich beim BSI zu registrieren. Die Registrierung läuft seit dem 6. Januar 2026 über das BSI-Portal unter portal.bsi.bund.de. Die Anmeldung erfolgt nicht über einen eigenen BSI-Account, sondern über die föderale Plattform "Mein Unternehmenskonto" (MUK) mit einem ELSTER-Organisationszertifikat. Dieser Artikel zeigt den vollständigen Ablauf Schritt für Schritt – von den Pflichtangaben über die Anmeldung bis zum Abschluss und der fortlaufenden Aktualisierung.

§ 33 BSIG: Wesentliche und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren und Änderungen der Registrierungsdaten unverzüglich, spätestens jedoch innerhalb von zwei Wochen, zu aktualisieren.

Wer muss sich registrieren?

Die Registrierungspflicht trifft alle wesentlichen Einrichtungen nach § 28 BSIG und alle wichtigen Einrichtungen nach § 29 BSIG. Betreiber kritischer Anlagen registrieren sich im selben Formular mit einer zusätzlichen Checkbox und geben ihre Institution-ID nach BSI-Kritisverordnung an. Wenn Ihre Einrichtung in mehreren Sektoren Dienste erbringt, lässt sich im Formular über "Weitere Einrichtungsart hinzufügen" jede weitere Zuordnung ergänzen.

• Wesentliche Einrichtungen (§ 28 BSIG): Energie, Wasser, Gesundheit, Verkehr, Finanzen, Digitalinfrastruktur, Weltraum, IKT-Dienstemanagement, öffentliche Verwaltung, Anhang-I-Sektoren
• Wichtige Einrichtungen (§ 29 BSIG): Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung, Anhang-II-Sektoren
• KRITIS-Betreiber: Registrierung im selben Formular, zusätzlich Institution-ID aus der BSI-Kritisverordnung
• Stellen des Bundes: eigener Auswahlpfad mit Behördenname, Abkürzung und Dropdown-Auswahl der Aufsichtsbehörde

Wenn Sie die Betroffenheit noch nicht formal bestimmt haben, starten Sie mit dem KaitoSec Vor-Check – die Gap-Analyse liefert die Selbsteinstufung, die Sie für das Registrierungsformular brauchen.

Welche Fristen gelten?

Die Registrierungspflicht ist an drei Zeitpunkte gekoppelt, die Sie auseinanderhalten müssen:

• Übergangsfrist für Bestandseinrichtungen: Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten, das BSI-Portal wurde am 6. Januar 2026 freigeschaltet. Die Registrierungsfrist für bereits bestehende betroffene Einrichtungen ist am 6. März 2026 abgelaufen. Wer noch nicht registriert ist, sollte die Registrierung umgehend nachholen.
• Neue Einrichtungen: Wer nach Inkrafttreten des Gesetzes betroffen wird (Neugründung, Überschreiten der Schwellenwerte, neuer Tätigkeitsbereich), hat nach der Kenntnis der Betroffenheit drei Monate Zeit für die Registrierung.
• Änderungen an Registrierungsdaten: Änderungen sind unverzüglich, spätestens innerhalb von zwei Wochen im BSI-Portal nachzuführen (§ 33 Abs. 5 BSIG). Das ist deutlich kürzer als häufig angenommen.

Praktischer Hinweis: Dokumentieren Sie den Zeitpunkt Ihrer Betroffenheitsfeststellung mit Datum und Unterschrift der Geschäftsleitung. Dieses Dokument ist der Fristanker bei einer späteren Nachprüfung durch das BSI.

Die zwei Systeme: MUK und BSI-Portal

Die BSI-Registrierung läuft über zwei unterschiedliche Systeme, die häufig verwechselt werden. Wer diese Unterscheidung nicht kennt, sucht an der falschen Stelle.

• Mein Unternehmenskonto (MUK): eine föderale eGovernment-Plattform des Bundes, über die Unternehmen sich bei Behörden digital authentifizieren. MUK ist kein BSI-System. Die Plattform akzeptiert ELSTER-Organisationszertifikate als Identitätsnachweis und leitet die authentifizierten Daten an die anfragende Behörde weiter.
• BSI-Portal: unter portal.bsi.bund.de erreichbar. Das ist die eigentliche NIS2-Registrierungs- und Meldeplattform des BSI. Der Login erfolgt nicht mit einem eigenen BSI-Account, sondern über den Knopf "Mit MUK anmelden".

Die Authentifizierung läuft über das ELSTER-Organisationszertifikat (.pfx-Datei) plus das zugehörige Zertifikatspasswort. Es gibt keine separate BSI-Kontoanlage, keine E-Mail-Verifizierung und kein zusätzliches Zwei-Faktor-Verfahren im BSI-Portal. Wer bisher kein ELSTER-Organisationszertifikat hat, beantragt es unter mein.elster.de – der Aktivierungscode kommt per Post und die Vorlaufzeit beträgt in der Regel ein bis zwei Wochen.

Schritt 1: Pflichtangaben vorbereiten

Bevor Sie sich anmelden, sollten alle Pflichtangaben vorliegen. Das BSI-Portal erlaubt Zwischenspeicherung, aber eine vollständige Vorbereitung verkürzt den Prozess erheblich und reduziert Fehler. Sammeln Sie die folgenden Informationen:

• Gültiges ELSTER-Organisationszertifikat und Zertifikatspasswort
• Unternehmensgröße zum letzten abgeschlossenen Geschäftsjahr: Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme
• Sektor und Branche nach Anhang I oder II der NIS2-Richtlinie (Anlagen 1 und 2 BSIG) – bei Mehrfachzuordnung alle zutreffenden Sektoren
• Einrichtungsart: wesentlich oder wichtig (das Portal schlägt in klaren Fällen die automatische Einstufung vor, Grenzfälle tragen Sie manuell ein)
• Liste aller EU-Mitgliedstaaten, in denen Ihre Einrichtung Dienste erbringt
• Alle zuständigen Aufsichtsbehörden des Bundes und der Länder – vom BSI explizit hervorgehoben, in regulierten Sektoren häufig mehrere (BNetzA, BaFin, Landesdatenschutzbehörden)
• Kontaktstelle: Organisationseinheit, Postanschrift, Telefonnummer, E-Mail-Funktionspostfach (keine personengebundene Adresse)
• Ein oder mehrere NIS-2-Kontaktpersonen: Name, Rolle, Funktion – mindestens eine Person muss zur NIS2- und BSIG-Regulierung aussagefähig sein
• Öffentliche IP-Adressbereiche in CIDR-Notation (IPv4 und IPv6) mit Kurzbezeichnung je Bereich – oder die explizite Angabe, dass keine vorhanden sind
• Bei KRITIS-Betreibern zusätzlich: Institution-ID gemäß BSI-Kritisverordnung

Wichtig zur Größenberechnung: Berechnungsgrundlage ist die Rechtseinheit, auf die das ELSTER-Organisationszertifikat ausgestellt ist. Bei verbundenen Unternehmen nach EU-KMU-Definition (Empfehlung 2003/361/EG) sind Partner- und verbundene Unternehmen grundsätzlich hinzuzurechnen – außer die Einheiten sind rechtlich, wirtschaftlich und operativ unabhängig. In Konzernstrukturen bedeutet das: jede Rechtseinheit, die selbst unter § 28 oder § 29 BSIG fällt, registriert sich separat.

Vorbefüllung aus ELSTER: Das BSI-Portal übernimmt automatisch Stammdaten aus dem Organisationszertifikat (Firmenname, Anschrift, Kontaktdaten). Diese Vorbefüllungen lassen sich nicht direkt im Portal ändern – Korrekturen müssen über "Mein ELSTER" (mein.elster.de) erfolgen. Prüfen Sie daher vor der Registrierung, ob die in ELSTER hinterlegten Daten aktuell sind.

Schritt 2: Anmeldung im BSI-Portal über MUK

Die Anmeldung ist der erste Berührungspunkt mit dem eigentlichen Portal. Der Ablauf hat fünf Schritte:

1. Portal aufrufen: portal.bsi.bund.de im Browser öffnen
2. "Mit MUK anmelden" auswählen
3. ELSTER-Organisationszertifikat als .pfx-Datei hochladen und das Zertifikatspasswort eingeben
4. Die Weitergabe der hinterlegten Stammdaten an das BSI bestätigen
5. Nach erfolgreicher Authentifizierung im Hauptmenü unter "Fachverfahren" → "Zur NIS-2" → "Zur NIS-2-Registrierung" navigieren

Bei jeder weiteren Anmeldung läuft derselbe Prozess ab. Das Zertifikat wird nicht einmalig hinterlegt, sondern bei jedem Login verwendet. Wer das Zertifikat verliert oder wer es ablaufen lässt, verliert den Zugang zum Portal – einschließlich der Möglichkeit, gesetzlich vorgeschriebene Änderungen innerhalb der Zwei-Wochen-Frist nachzuführen.

Schritt 3: Einrichtungstyp und Einstufung erfassen

Das Registrierungsformular führt Sie durch eine Reihe von Dropdowns und Eingabefeldern. Die Einstufungs-Logik ist dabei teilweise automatisiert:

1. Angabe, ob es sich um eine Stelle des Bundes handelt. Oberste und obere Bundesbehörden wählen sich über eine Dropdown-Liste aus.
2. KRITIS-Checkbox: Wenn Ihre Einrichtung als kritische Anlage gilt, Checkbox aktivieren und die Institution-ID aus der BSI-Kritisverordnung eintragen
3. Unternehmensgröße eintragen: Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme
4. Sektor, Branche und Einrichtungsart aus den Dropdown-Feldern wählen. Bei Mehrsektor-Tätigkeit die Option "Weitere Einrichtungsart hinzufügen" nutzen, um jede weitere Zuordnung zu ergänzen
5. EU-Mitgliedstaaten angeben, in denen Dienste erbracht werden, und alle zuständigen Aufsichtsbehörden des Bundes und der Länder eintragen
6. Einstufung als wesentliche oder wichtige Einrichtung bestätigen – in klaren Fällen schlägt das Portal die automatische Einstufung vor, in Grenzfällen muss manuell ausgewählt werden

Schritt 4: Kontaktstelle und Kontaktpersonen benennen

Das BSI kommuniziert im Krisenfall ausschließlich über die hinterlegten Kontaktdaten. Die Kontaktstelle ist daher der kritischste Teil der Registrierung – falsche oder veraltete Angaben bedeuten, dass Sie Warnungen und Lageberichte verpassen.

• Kontaktstelle: Organisationseinheit (z. B. "IT-Sicherheit" oder "Sicherheits-Operations"), Postanschrift, Telefonnummer und ein E-Mail-Funktionspostfach. Ein personengebundenes Postfach ist ausdrücklich nicht geeignet, weil bei Urlaub, Krankheit oder Ausscheiden der Kommunikationskanal unterbrochen ist.
• NIS-2-Kontaktpersonen: Name, Rolle und Funktion. Mindestens eine Person muss inhaltlich zur NIS2- und BSIG-Regulierung aussagefähig sein. Es können mehrere Personen eingetragen werden, und das ist auch empfehlenswert: Fällt eine Person aus, bleibt das BSI anschlussfähig.

Praktischer Hinweis zur 24/7-Erreichbarkeit: Für KRITIS-Betreiber gelten zusätzliche Anforderungen nach § 39 BSIG, darunter eine dauerhaft erreichbare Kontaktstelle. Für reine NIS2-Einrichtungen ohne KRITIS-Status fordert § 33 BSIG keine 24/7-Erreichbarkeit, wohl aber eine Kontaktstelle, die im Krisenfall handlungsfähig ist. Ein Monitoring des Funktionspostfachs und eine klare Eskalationskette intern ersetzen die 24/7-Rufbereitschaft nicht, sind aber für regulierte Einrichtungen ohne KRITIS-Status der pragmatische Standard.

Schritt 5: IP-Adressbereiche angeben

Das Registrierungsformular erfordert die Angabe der öffentlichen Netzbereiche, über die Ihre wesentlichen Dienste erreichbar sind. Dieses Feld darf nicht leer bleiben:

• IPv4-Bereiche in CIDR-Notation (z. B. 192.0.2.0/24)
• IPv6-Bereiche in CIDR-Notation (z. B. 2001:db8::/32)
• Je Bereich eine Kurzbezeichnung (z. B. "RZ Frankfurt externer Perimeter", "SaaS-Gateway")
• Wenn keine eigenen öffentlichen IP-Bereiche existieren (z. B. reine SaaS-Nutzung ohne eigene Infrastruktur), muss die Nichtexistenz im Formular explizit bestätigt werden

Der Hintergrund ist operativ: Das BSI nutzt die IP-Angaben, um betroffene Einrichtungen bei neuen Schwachstellen, kompromittierten Systemen oder aktiven Angriffen gezielt zu benachrichtigen. Unvollständige oder veraltete IP-Angaben reduzieren diese Frühwarnwirkung unmittelbar.

Schritt 6: Registrierung abschließen und aktuell halten

Nach der vollständigen Eingabe schließen Sie die Registrierung über den Knopf "Registrierung abschließen" ab. Die eingereichten Daten erscheinen anschließend im Portal unter dem Reiter "Ihre Registrierung" – dort können Sie die Angaben jederzeit einsehen und bei Bedarf anpassen.

Die Datenpflege ist gesetzlich vorgeschrieben: § 33 Abs. 5 BSIG verlangt, dass Änderungen unverzüglich, spätestens jedoch innerhalb von zwei Wochen nachgeführt werden. Diese Frist wird in der Praxis häufig unterschätzt. Änderungspflichtige Ereignisse sind:

• Wechsel der Kontaktstelle oder einer Kontaktperson
• Änderung der Anschrift, des Firmennamens oder der Rechtsform
• Fusionen, Übernahmen oder Unternehmensteilungen
• Neue oder weggefallene wesentliche Dienste oder Anlagen
• Wesentliche Änderungen der Unternehmensgröße mit Auswirkung auf die Einstufung
• Wegfall der Betroffenheit (etwa durch dauerhaftes Unterschreiten der Schwellenwerte)

Nachweispflicht dokumentieren: Archivieren Sie einen Screenshot oder PDF-Export des abgeschlossenen Registrierungsformulars und der Portal-Bestätigung. Für die persönliche Haftung der Geschäftsleitung nach § 38 BSIG ist der Nachweis der rechtzeitigen Registrierung ein zentraler Entlastungsbeleg. Setzen Sie intern einen Wiedervorlagetermin (zwölf Monate) für die turnusmäßige Datenprüfung.

Häufige Fehler bei der BSI-Registrierung

• MUK und BSI-Portal verwechseln: MUK ist kein BSI-System, sondern die föderale eGovernment-Authentifizierung. Der Einstiegspunkt ist portal.bsi.bund.de, nicht ein vermeintliches "muk.bsi.bund.de"
• ELSTER-Organisationszertifikat zu spät beantragen: Ohne gültiges Zertifikat keine Registrierung. Der Aktivierungscode kommt per Post – Vorlaufzeit ein bis zwei Wochen einplanen
• Personengebundenes E-Mail-Postfach als Kontaktadresse: Bei Urlaub oder Ausscheiden fällt der Kommunikationskanal aus. Ausschließlich Funktionspostfächer verwenden
• Aufsichtsbehörden unvollständig: Unternehmen in regulierten Sektoren haben häufig mehrere parallele Aufsichten. Alle im Formular angeben
• Konzernstruktur falsch abgebildet: Registriert wird die Rechtseinheit des ELSTER-Zertifikats. In Konzernen muss jede Rechtseinheit, die selbst unter § 28 oder § 29 BSIG fällt, separat registriert sein
• Änderungsfrist unterschätzt: Zwei Wochen, nicht drei Monate. Ein Kontaktpersonenwechsel ohne Portal-Update ist ein Pflichtverstoß, der nach § 60 BSIG bebußbar ist
• IP-Bereiche leer lassen: Das Feld erfordert entweder CIDR-Bereiche oder die explizite Angabe der Nichtexistenz
• ELSTER-Vorbefüllung ignorieren: Wer die Stammdaten im Portal als veraltet erkennt, muss die Korrektur über mein.elster.de vornehmen – nicht im BSI-Portal

Was passiert nach der Registrierung?

Mit der abgeschlossenen Registrierung ist Ihre Einrichtung beim BSI bekannt und Teil der operativen Lageübersicht. In der Praxis heißt das:

• Das BSI kann Sie über das Funktionspostfach gezielt auf Schwachstellen, kompromittierte Systeme oder aktive Angriffe ansprechen – insbesondere wenn die gemeldeten IP-Bereiche betroffen sind
• Sicherheitsvorfälle nach § 32 BSIG werden über dasselbe BSI-Portal gemeldet, mit dem Meldezyklus aus 24-Stunden-Frühwarnung, 72-Stunden-Zwischenmeldung und 30-Tage-Abschlussbericht
• Für KRITIS-Betreiber gelten zusätzliche Pflichten nach § 39 BSIG, darunter Nachweispflichten und eine dauerhafte Erreichbarkeit
• Schwachstellenmeldungen (etwa von externen Sicherheitsforschenden) können anonym und ohne Registrierung über das Portal abgegeben werden, solange kein eigener Sicherheitsvorfall vorliegt

Checkliste: BSI-Portal-Registrierung

• ☐ Betroffenheit formal festgestellt und datiert dokumentiert (Fristanker)
• ☐ Sektor- und Einrichtungsartzuordnung nach Anlage 1 oder 2 BSIG bestimmt
• ☐ ELSTER-Organisationszertifikat vorhanden oder beantragt (Vorlaufzeit beachten)
• ☐ Unternehmensgröße nach EU-KMU-Definition berechnet (inkl. verbundene Unternehmen)
• ☐ Stammdaten in "Mein ELSTER" auf Aktualität geprüft
• ☐ Kontaktstelle mit Funktionspostfach definiert
• ☐ Eine oder mehrere NIS-2-Kontaktpersonen benannt
• ☐ IP-Adressbereiche in CIDR-Notation gesammelt (oder Nichtexistenz bestätigt)
• ☐ Aufsichtsbehörden Bund und Länder vollständig aufgelistet
• ☐ EU-Mitgliedstaaten der Dienstleistungserbringung zusammengestellt
• ☐ KRITIS-Institution-ID (falls zutreffend) bereit
• ☐ Registrierung im BSI-Portal abgeschlossen und Screenshot archiviert
• ☐ Interner Wiedervorlagetermin für Datenpflege gesetzt

Quellen: BSI-Anleitung zur Registrierung im BSI-Portal (https://www.bsi.bund.de/dok/anleitung-portal-registrierung), § 33 BSIG, § 28 und § 29 BSIG, § 38 BSIG, § 60 BSIG, BSI-Kritisverordnung (https://www.gesetze-im-internet.de/bsi-kritisv/), EU-Empfehlung 2003/361/EG zur KMU-Definition.

Dieser Artikel dient als Orientierungshilfe und ersetzt keine Rechtsberatung im Sinne des RDG. Für die rechtliche Einordnung Ihrer konkreten Situation konsultieren Sie bitte einen auf IT-Recht oder Informationssicherheitsrecht spezialisierten Rechtsanwalt.