NIS2-Frist verpasst? Was Unternehmen jetzt tun müssen

Veröffentlicht: 19.08.2026 · Letzte Aktualisierung: 19.08.2026

Die Frist ist vorbei. Am 31. Juli 2026 endete die vom Bundesamt für Sicherheit in der Informationstechnik eingeräumte Nachfrist zur NIS2-Registrierung, und ein Teil der betroffenen deutschen Unternehmen hat sie nicht genutzt. Wer jetzt noch nicht registriert ist, befindet sich nicht in einer Grauzone, sondern im Verzug.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Deutschland in Kraft getreten. Die ursprüngliche Registrierungsfrist lief bereits am 6. März 2026 ab, danach räumte das BSI eine Nachfrist bis zum 31. Juli 2026 ein. Diese Nachfrist ist inzwischen ebenfalls verstrichen, eine weitere Verlängerung ist nicht vorgesehen.

Für Unternehmen, die ihre Website oder Web-App mit KI-Tools erstellt haben, kommt eine zweite Baustelle hinzu. Sicherheitsforscher stellen bei KI-generiertem Code spezifische Schwachstellenmuster fest, die bei manuell geschriebenem Code seltener auftreten, und genau eine solche Schwachstellenanalyse fordert das Gesetz. Dieser Beitrag zeigt, was betroffene Unternehmen jetzt konkret nachholen sollten, unabhängig davon, ob die eigene Registrierung schon erfolgt ist oder noch aussteht.

Hinweis vorab: Dieser Beitrag gibt einen technischen Überblick. Er ist keine Rechtsberatung. Ob Ihr Unternehmen unter NIS2 fällt und welche Schritte im Einzelfall rechtlich zwingend sind, klärt ein auf IT-Recht spezialisierter Anwalt.

NIS2 in Deutschland: Was seit Dezember 2025 gilt

NIS2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. In Kraft getreten ist dieses Gesetz am 6. Dezember 2025.

Der Anwendungsbereich wurde gegenüber der Vorgängerregelung erheblich ausgeweitet. Während die erste NIS-Richtlinie im Wesentlichen klassische kritische Infrastrukturen wie Strom- oder Wasserversorgung erfasste, greift NIS2 deutlich weiter. Hinzugekommen sind unter anderem Abfallwirtschaft, Lebensmittel, Post und Kurier sowie das Verarbeitende Gewerbe. Auch Größenschwellen spielen eine Rolle: Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren können erfasst sein.

Das zweite wesentliche Novum ist die persönliche Verantwortung der Unternehmensführung. § 38 BSIG regelt, dass die Geschäftsleitung die Umsetzung der Cybersicherheitsmaßnahmen zu verantworten hat und bei Versäumnissen persönlich haften kann. Das hat dazu geführt, dass NIS2 in vielen Unternehmen seit Monaten auf der Agenda der Geschäftsführungsebene steht, gerade jetzt, wo die Registrierungsfrist bereits verstrichen ist.

Betrifft NIS2 Ihr Unternehmen?

Das Gesetz unterscheidet zwischen „wesentlichen Einrichtungen“ und „wichtigen Einrichtungen“. Die Einstufung ergibt sich aus Sektor und Unternehmensgröße kombiniert.

Als Orientierung gilt: Wer in einem der erfassten Sektoren tätig ist und gleichzeitig mehr als 50 Mitarbeiter oder mehr als 10 Millionen Euro Jahresumsatz hat, fällt sehr wahrscheinlich unter NIS2. Für bestimmte Einrichtungstypen gibt es keine Größenschwelle, dort greift das Gesetz unabhängig von Mitarbeiterzahl und Umsatz.

Lieferketten sind ein weiterer Faktor. Ein kleines Unternehmen, das als Zulieferer oder IT-Dienstleister für eine wesentliche Einrichtung tätig ist, kann indirekt in den Scope geraten, auch ohne die genannten Größenschwellen selbst zu erreichen.

Das BSI hat auf bsi.de Orientierungshilfen veröffentlicht. Für eine belastbare Einschätzung des eigenen Falls ist ein auf IT-Recht spezialisierter Anwalt die richtige Anlaufstelle, nicht ein Blog-Beitrag. Wer diese Prüfung noch nicht vorgenommen hat, sollte sie unabhängig vom Fristablauf nachholen: Die Einstufung ändert sich durch verstrichene Fristen nicht, nur das Zeitfenster für eine fristgerechte Registrierung ist weg.

Frist verpasst: Das ist jetzt zu tun

Wer die Registrierungsfrist verstreichen ließ, steht nicht vor einer Sackgasse. Drei Schritte lassen sich auch nach dem 31. Juli 2026 noch umsetzen, und je früher, desto besser.

Jetzt nachregistrieren. Die Registrierung über das BSI-Portal „Mein Unternehmenskonto“ ist weiterhin möglich, obwohl die Frist formal abgelaufen ist. Der Zugang läuft über ein ELSTER-Organisationszertifikat, das Unternehmen ohnehin für die Steuerverwaltung nutzen. Eine verspätete Registrierung ersetzt keine fristgerechte, sie ist aber ein klares Signal an das BSI, dass ein Unternehmen die Pflicht ernst nimmt und aktiv nachbessert, statt untätig zu bleiben.

Maßnahmen nach § 30 BSIG dokumentieren. Unabhängig vom Registrierungsstatus verlangt das Gesetz nachvollziehbare Nachweise über getroffene Sicherheitsmaßnahmen. Wer bislang nichts dokumentiert hat, sollte jetzt beginnen: Welche technischen und organisatorischen Maßnahmen sind bereits umgesetzt, wann wurden sie eingeführt, wer ist intern verantwortlich. Eine lückenhafte, aber ehrlich geführte Dokumentation ab sofort ist im Ernstfall mehr wert als gar keine.

Website- und Code-Audit ansetzen. Die Registrierung ist der formale Teil, die technische Absicherung der eigentliche Zweck des Gesetzes. Ein strukturierter Audit der eigenen Website und der eingesetzten Anwendungen zeigt, wo tatsächlich Handlungsbedarf besteht, und liefert gleichzeitig die Grundlage für die Dokumentation nach § 30 BSIG. Weiter unten in diesem Beitrag beschreiben wir, was ein solcher Audit typischerweise umfasst.

Wichtig zur Einordnung: Eine verspätete Registrierung heilt keine bereits eingetretene Fristversäumnis rückwirkend. Sie verringert aber das Risiko, dass ein Verstoß bei einer Prüfung als vollständig ignoriert wahrgenommen wird. Für eine rechtssichere Einschätzung der eigenen Situation, insbesondere wenn bereits ein Bußgeldverfahren droht oder läuft, ist ein Fachanwalt für IT-Recht die richtige Adresse.

Was NIS2 für Ihre Website konkret bedeutet

Ein verbreitetes Missverständnis lautet: „NIS2 betrifft unsere Server, nicht unsere Website.“ Das greift zu kurz.

Die Website ist Teil der IT-Infrastruktur eines Unternehmens. Sie ist öffentlich erreichbar, verarbeitet in der Regel Nutzerdaten über Formulare, Analytics oder Transaktionen, und ist damit ein potenzieller Angriffspunkt. Das Gesetz sieht für betroffene Einrichtungen unter anderem vor:

• Regelmäßige Prüfung auf bekannte Sicherheitslücken
• Maßnahmen zur Sicherstellung der Verfügbarkeit, etwa Updates, Patches und Backups
• Angemessene technische Sicherheitsmaßnahmen entsprechend dem Stand der Technik
• Nachvollziehbare Dokumentation der getroffenen Maßnahmen

Was das in der Praxis heißt: Eine WordPress-Installation auf einer veralteten Core-Version, mit ungepatchten Plugins und ohne aktives Sicherheitsmonitoring, ist für betroffene Unternehmen kein Kavaliersdelikt mehr. Sie wird zur Compliance-Frage, und zwar unabhängig davon, ob die Registrierung bereits erfolgt ist.

KI-generierter Code und NIS2: Warum das eine schwierige Kombination ist

Der Einsatz von KI-Tools wie Bolt.new, Lovable, Cursor oder GitHub Copilot für die Code-Erstellung hat sich in den vergangenen Jahren stark verbreitet. Die Vorteile aus Produktivitätssicht sind real. Die Sicherheitsperspektive bringt allerdings ein spezifisches Problem mit sich.

KI-Modelle generieren Code, der funktioniert, aber nicht primär nach Sicherheitskriterien optimiert ist. Veracode, ein etabliertes Unternehmen für Anwendungssicherheit, hat in seinem jährlichen Bericht „State of Software Security“ festgestellt, dass KI-generierter Code spezifische Schwachstellenmuster aufweist, die bei handgeschriebenem Code seltener auftreten. Zu den häufig beobachteten Problemen gehören:

• API-Keys und Zugangsdaten, die im Code oder in Kommentaren landen statt in sicheren Variablen
• Fehlende oder unvollständige Validierung von Nutzereingaben in Formularen und Schnittstellen
• Abhängigkeiten von Bibliotheken, die zum Zeitpunkt des KI-Trainings aktuell waren, inzwischen aber bekannte Sicherheitslücken aufweisen
• Fehler bei der Authentifizierung in benutzerdefinierten Login-Systemen
• SQL-Injection-Anfälligkeiten durch fehlende Parametrisierung von Datenbankabfragen

Das ist kein Argument gegen KI-Tools generell. Es ist ein Argument dafür, KI-generierten Code zu prüfen, bevor er in einer Produktionsumgebung läuft, erst recht dann, wenn das Unternehmen unter NIS2-Regulierung steht und eine ohnehin überfällige Registrierung nachzuholen hat.

Was ein NIS2-orientierter Website-Audit umfasst

Das Wort „Audit“ klingt nach großem Aufwand. Was sinnvoll und machbar ist, hängt von der Komplexität des Projekts ab.

Für eine typische WordPress-Website oder eine einfache KI-generierte Web-App gibt es einen handhabbaren Prüfpfad. Er umfasst auf der technischen Seite einen automatisierten Scan auf bekannte Schwachstellen nach dem OWASP-Top-10-Katalog, die Prüfung aller eingesetzten Bibliotheken und Abhängigkeiten auf bekannte CVEs, eine Prüfung der Authentifizierungs- und Zugangskontrolle, der API-Endpunkte und der Serverkonfiguration inklusive HTTPS, Security-Header und Dateirechten.

Auf der Datenschutzseite gehört dazu ein Schnellcheck des Hosting-Landes und der Subprozessoren, der Cookie-Consent-Implementierung, der Aktualität der Datenschutzerklärung sowie der Kontaktformulare und Datenspeicherlogik.

Das Ergebnis ist ein priorisierter Fix-Report, der kritische von weniger dringlichen Schwachstellen trennt und als nachvollziehbarer Nachweis für die Dokumentation nach § 30 BSIG dienen kann.

CMS ADMINS bietet einen solchen Audit mit dem KI Scan an. Wichtig zur Einordnung: Das ist kein vollständiger Penetrationstest, wie ihn BSI-zertifizierte Prüfer für regulierte Umgebungen erbringen. Es ist ein fokussierter, strukturierter Sicherheits- und Compliance-Check, der auf KI-generierte Projekte und WordPress-Websites ausgerichtet ist und einen priorisierten Fix-Report innerhalb von zehn Werktagen liefert.

Was Sie jetzt konkret tun können

Unabhängig davon, ob NIS2 direkt zutrifft und ob die eigene Registrierung bereits erfolgt ist: Es gibt technische Maßnahmen, die jedes Unternehmen mit einer öffentlichen Website jetzt angehen sollte.

WordPress-Version und Plugins aktuell halten. Veraltete Core-Installationen und Plugins sind der statistisch häufigste Angriffsvektor bei WordPress. Das wp2shell-Sicherheitsproblem aus dem Juli 2026 (CVSS 9.8) betraf ausschließlich ungepatchte Installationen. Wer nicht wartet, zahlt das Risiko irgendwann als Vorfall zurück.

Sicherheitsmonitoring einrichten. Eine Website ohne aktives Monitoring gibt keine Warnzeichen, wenn etwas nicht stimmt. Automatisiertes Monitoring erkennt Anomalien, bevor daraus ein größeres Problem wird.

KI-generierten Code prüfen lassen. Wenn Ihre Website oder Web-App mit KI-Tools erstellt wurde, ist ein strukturierter Sicherheits-Check eine sinnvolle Investition. Nicht nur wegen NIS2, sondern weil das spezifische Schwachstellenprofil eine Prüfung ohnehin rechtfertigt.

Registrierung nachholen und dokumentieren. Wer die Frist verpasst hat, sollte die Registrierung über das BSI-Portal „Mein Unternehmenskonto“ zeitnah nachholen und parallel beginnen, getroffene Maßnahmen nach § 30 BSIG schriftlich festzuhalten. Für NIS2-betroffene Unternehmen ist beides mehr als gute Praxis, es ist Pflicht.

Dauerschutz: KI Scan, KI Guard und WordPress-Wartung aus einer Hand

CMS ADMINS ist WordPress-Spezialist mit Serverstandort Deutschland. Alle Daten bleiben auf deutschen Servern, ohne US-Muttergesellschaft, DSGVO-konform.

KI Scan ist der passende Einstieg für Unternehmen, die wissen wollen, was in ihrer Website oder ihrem KI-generierten Code steckt. Prüfung auf OWASP Top 10, veraltete Abhängigkeiten, Authentifizierungsfehler, API-Schwachstellen und DSGVO-relevante Datenspeicherung. Lieferung eines priorisierten Fix-Reports innerhalb von zehn Werktagen, verwertbar als Nachweis für die Dokumentation nach § 30 BSIG.

KI Guard übernimmt danach den Dauerbetrieb: Migration von US-Hosting wie Lovable, Bolt.new oder Vercel auf deutsche Server, laufende Backups, Updates, Monitoring und Sicherheit. Das Angebot ist gestaffelt in KI Guard Starter ab 89 € netto/Monat, KI Guard Professional ab 199 € netto/Monat mit wöchentlichen Updates und Security-Hardening, sowie KI Guard Enterprise ab 499 € netto/Monat mit SLA und dediziertem Ansprechpartner. Details dazu finden Sie auf der Produktseite /ki-guard/.

Laufende WordPress-Wartung ab 9,50 Euro pro Monat umfasst regelmäßige Updates für Core, Plugins und Themes, 60 Tage Backups auf deutschen Servern, 24/7-Monitoring und die Einrichtung von reportedIP Pro mit Brute-Force-Schutz und SMS-Zwei-Faktor-Authentifizierung. Kein Stundensatz, kein Overhead. Wer aktives Update-Management betreibt, schließt die häufigste Einbruchspforte.

Mehr zu unserem allgemeinen Sicherheitsansatz für WordPress-Websites, unabhängig von NIS2, finden Sie auf /produkte/wordpress-sicherheit/.

Häufig gestellte Fragen

Was passiert, wenn ich die BSI-Registrierungsfrist verpasst habe?

Die Frist ist verstrichen, eine rechtliche Verlängerung gibt es nicht. Eine Registrierung ist trotzdem weiterhin über das BSI-Portal „Mein Unternehmenskonto“ möglich und wird dringend empfohlen, denn sie signalisiert dem BSI, dass Sie aktiv nachbessern. Für eine Einschätzung möglicher Konsequenzen im Einzelfall wenden Sie sich an einen Fachanwalt für IT-Recht.

Kann ich mich trotz abgelaufener Frist noch beim BSI registrieren?

Ja. Die Registrierung über das Portal „Mein Unternehmenskonto“ erfolgt mit einem ELSTER-Organisationszertifikat und ist auch nach dem 31. Juli 2026 technisch möglich. Sie heilt die Fristversäumnis nicht rückwirkend, ist aber ein wichtiger Schritt, um den eigenen Compliance-Status aktiv zu verbessern.

Welche Bußgelder drohen bei einem NIS2-Verstoß?

Bei Registrierungsverstößen sind Bußgelder bis zu 500.000 € möglich. Bei umfassenderen NIS2-Verstößen, etwa fehlenden Sicherheitsmaßnahmen, reicht der Rahmen bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes. Die Geschäftsleitung haftet zusätzlich persönlich nach § 38 BSIG. Für die Einschätzung im konkreten Fall ist ein Fachanwalt für IT-Recht zuständig.

Muss ich meine WordPress-Website wegen NIS2 komplett neu aufsetzen?

Nein. Das Gesetz fordert angemessene Maßnahmen nach Stand der Technik, keine spezifischen Technologien. Eine aktuell gepflegte, überwachte und dokumentierte WordPress-Installation erfüllt die technischen Grundanforderungen. Was im Einzelfall angemessen ist, hängt vom Risikoprofil des Unternehmens ab, das ist eine Frage für Anwalt und Sicherheitsberater.

Ist der KI Scan dasselbe wie ein Penetrationstest?

Nein. Ein professioneller Penetrationstest durch akkreditierte Prüfer geht deutlich tiefer, testet aktiv Angriffspfade und kommt mit einer formellen Prüfbescheinigung. Der KI Scan ist ein strukturierter Sicherheits- und Compliance-Check für KI-generierte Projekte und WordPress-Websites. Für NIS2-betroffene Unternehmen mit höherem Risikoprofil kann zusätzlich ein Penetrationstest sinnvoll oder nötig sein, das ist keine Dienstleistung von CMS ADMINS.

Fazit

Die BSI-Registrierungsfrist für NIS2 ist verstrichen, das ändert nichts an der Verpflichtung selbst, es verändert nur die Ausgangslage. Wer bislang nicht registriert ist, sollte das über das Portal „Mein Unternehmenskonto“ jetzt nachholen. Wer noch keine Maßnahmen dokumentiert hat, sollte damit heute beginnen, nicht erst bei der nächsten Prüfung.

Für Unternehmen, deren Website oder Web-App mit KI-Tools erstellt wurde, kommt die technische Dimension hinzu: KI-generierter Code bringt strukturell mehr Schwachstellen mit, und genau diese sollen laut Gesetz geprüft und dokumentiert werden. Ein Audit ist damit nicht nur eine Formalität für die NIS2-Akte, sondern schließt reale Sicherheitslücken.

Kontakt für Website-Sicherheit und WordPress-Wartung:
Telefon: +49 89 21550588-8 oder Kontaktformular auf cms-admins.de.

Dieser Beitrag gibt einen technischen Überblick. Er ist keine Rechtsberatung. Für eine rechtliche Einordnung im Einzelfall wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

Quellen und Grundlagen: NIS2UmsuCG (BGBl. I 2025), Bundesamt für Sicherheit in der Informationstechnik (bsi.de), Veracode State of Software Security 2025, Europäische NIS2-Richtlinie (EU) 2022/2555. Stand: August 2026.