NIS-2: Über 18.000 Unternehmen fehlen im BSI-Portal. Was steckt dahinter?

14.03.2026 von Matthias Lutz

Branchen, Consulting, Cybersecurity, Future Healthcare, Healthcare- und MedTech-Beratung, NIS2

Kapazitätslücke statt Gleichgültigkeit

Die Zahlen wirken auf den ersten Blick alarmierend: 61,5 Prozent der betroffenen Unternehmen fehlen im BSI-Portal. Doch das BSI selbst räumt ein, dass die Prüfung der Betroffenheit und die zweistufige Registrierung im Einzelfall aufwendig sein können. Für viele Einrichtungen im Gesundheitswesen trifft das in besonderem Maße zu.

Kliniken, größere Arztpraxen und Pflegeeinrichtungen, die unter die NIS-2-Richtlinie fallen, stehen vor einer spezifischen Herausforderung: Sie verfügen selten über ein dediziertes IT-Security-Team. Es gibt häufig keine eigene Compliance-Funktion. Und die Leitungsebene ist im Tagesgeschäft mit Patientenversorgung gebunden, nicht mit der Interpretation europäischer Richtlinien. Die fehlende Registrierung ist deshalb in vielen Fällen kein Zeichen mangelnden Bewusstseins. Sie ist das Symptom einer Kapazitätslücke.

Was auf dem Spiel steht

Dieser Unterschied ist wichtig, ändert aber nichts an den Konsequenzen. Unternehmen, die die Frist versäumt haben, müssen mit Zwangsgeldern rechnen. Das BSI kann Compliance-Prüfungen anordnen und in schwerwiegenden Fällen das gesamte Sicherheitskonzept einer Einrichtung unter die Lupe nehmen.

Hinzu kommt: Die Registrierung war nur der erste Schritt. Die eigentlichen NIS-2-Pflichten stehen den meisten Einrichtungen noch bevor. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden. Regelmäßige Sicherheitsaudits werden Pflicht. Mitarbeitende müssen geschult werden. Für Einrichtungen, die bereits die Registrierung nicht aus eigener Kraft stemmen konnten, wird die Umsetzung dieser Anforderungen ohne externe Unterstützung kaum realistisch sein.

Strukturiert aufholen statt improvisieren

Die gute Nachricht: Das BSI zeigt sich gegenüber Nachregistrierungen offen. Die signifikante Steigerung der Registrierungen in den letzten Tagen vor dem Stichtag deutet darauf hin, dass die Bereitschaft grundsätzlich vorhanden ist. Entscheidend ist jetzt, den Rückstand nicht planlos, sondern systematisch aufzuholen.

Ein externer Blick kann dabei helfen, den eigenen NIS-2-Status realistisch einzuschätzen und die nächsten Schritte zu priorisieren. Keine einmalige Beratung ersetzt den Aufbau eigener Kompetenz innerhalb der Einrichtung. Aber eine strukturierte Begleitung schafft die Grundlage, auf der alle weiteren Maßnahmen aufbauen.

Für Gesundheitseinrichtungen, die vor genau dieser Herausforderung stehen, bietet sepp.med eine Cybersecurity-Beratung mit Schwerpunkt NIS-2-Konformität an. Der Fokus liegt auf pragmatischer Umsetzung: von der Gap-Analyse über die Registrierung bis zur Vorbereitung auf Incident-Reporting und Audit-Anforderungen.