Dieser Leitfaden zeigt, was Sie vorbereiten, wie beide Stufen ablaufen und was nach der Registrierung zu pflegen ist. Die Schritte folgen den Anleitungen des BSI; Bezeichnungen im Portal können sich ändern.
Wer sich registriert
- Besonders wichtige und wichtige Einrichtungen: Ob Sie dazugehören, klärt der Leitfaden „Wer ist von NIS2 betroffen?“.
- Domain-Name-Registry-Dienstleister: Sie sind in § 33 Abs. 1 BSIG eigens genannt.
- Betreiber kritischer Anlagen: Sie registrieren sich laut BSI im Portal als besonders wichtige Einrichtung und brauchen dafür ihre Institutions-ID.
- Unternehmen unter DORA: Laut BSI ist die Registrierung erforderlich, weitergehende Pflichten entfallen (§ 28 Abs. 6 BSIG).
- Betreiber unterschwelliger Energieversorgungsnetze: Sie wählen laut BSI im Portal eine eigene Option bei der Einstufung.
Diese Angaben verlangt das Gesetz
§ 33 Abs. 1 BSIG nennt fünf Gruppen von Angaben. Sammeln Sie sie vor dem Start.
| Nr. | Angabe | Woher in der Praxis |
|---|---|---|
| 1 | Name, Rechtsform, gegebenenfalls Handelsregisternummer | Handelsregister; im Portal aus dem ELSTER-Zertifikat übernommen |
| 2 | Anschrift, Kontaktdaten mit E-Mail und Telefon, öffentliche IP-Adressbereiche | IT-Betrieb, Netzdokumentation |
| 3 | Sektor nach Anlage 1 oder 2 BSIG, gegebenenfalls Branche | Ihre Betroffenheitsprüfung |
| 4 | Mitgliedstaaten, in denen Sie Dienste der genannten Einrichtungsarten erbringen | Vertrieb, Standortliste |
| 5 | Zuständige Aufsichtsbehörden des Bundes und der Länder | Rechtsabteilung, Compliance |
Vor dem Start klären
- Einstufung: Ist die Einrichtung besonders wichtig oder wichtig, und welche Einrichtungsart passt?
- Kontaktstelle: Das BSI sieht ein Funktionspostfach statt einer persönlichen Adresse und eine oder zwei Telefonnummern im internationalen Format vor.
- Kontaktpersonen: Mehrere sind empfohlen. Informieren Sie die Personen vorab, das bestätigen Sie im Formular.
- IP-Adressbereiche: Alle öffentlichen statischen Bereiche in CIDR-Notation, IPv4 oder IPv6. Gibt es keine, geben Sie das an.
- Zertifikat: Wer beantragt es, wer verwahrt es, und wer vertritt?
Stufe 1: Mein Unternehmenskonto
MUK ist der Dienst für digitale Verwaltungsleistungen auf ELSTER-Basis. Ohne diese Anmeldung gibt es keinen Zugang zum BSI-Portal.
- Antrag stellen. Beantragen Sie das ELSTER-Organisationszertifikat auf mein-unternehmenskonto.de. Sie brauchen eine deutsche Steuernummer, die Steuerart ist egal. Ein Sitz in Deutschland ist nicht nötig.
- Aktivierungsdaten abwarten. Die Daten kommen getrennt per E-Mail und per Brief. Der Brief geht an die Adresse zur Steuernummer und braucht laut BSI regelmäßig mindestens fünf Werktage.
- Zertifikat laden. Erst wenn beides vorliegt, laden Sie die Zertifikatsdatei herunter. Das ist nur befristet möglich, die Erstellung ist kostenlos.
- Sicher ablegen. Bewahren Sie Datei und Passwort so auf, dass der Zugang nicht an einer Person hängt.
Stufe 2: Das BSI-Portal
- Anmelden. Öffnen Sie portal.bsi.bund.de und wählen Sie „Mit MUK anmelden“. Laden Sie das Zertifikat hoch und geben Sie sein Passwort ein.
- Daten bestätigen. Prüfen Sie die Daten aus dem Zertifikat und bestätigen Sie die Übernahme. Fehler korrigieren Sie in „Mein ELSTER“, nicht im Portal.
- Registrierung öffnen. Wählen Sie im NIS-2-Bereich „Zur NIS-2-Registrierung“.
- Einordnung angeben. Stelle des Bundes, KRITIS-Betreiber, NIS-2-Einstufung, dann Sektor, Branche und Einrichtungsart. Weitere Sektoren ergänzen Sie mit „Weitere Einrichtungsart hinzufügen“.
- Staaten und Aufsicht eintragen. Listen Sie die Mitgliedstaaten auf und nennen Sie Aufsichtsbehörden mit vollem Namen. Gemeint ist laut BSI nicht nur die Aufsicht über Informationssicherheit.
- Kontakte eintragen. Füllen Sie NIS-2-Kontaktstelle und Kontaktpersonen aus.
- IP-Adressbereiche eintragen. Tragen Sie die vorbereiteten Bereiche ein.
- Abschließen. Sind alle Pflichtfelder gefüllt, wählen Sie „Registrierung abschließen“.
Mehrere Gesellschaften und Konzerne
Die Betroffenheit prüft jede Einrichtung für sich, also registriert sich auch jede betroffene Einrichtung. Die Registrierung der Muttergesellschaft deckt eine betroffene Tochter nicht automatisch ab.
- Zentrale Stelle: Laut BSI kann eine zentrale Stelle die Registrierung aller Einheiten übernehmen. Dafür müssen ihr die Zertifikate der einzelnen Einrichtungen vorliegen.
- Steuernummer: Jedes Zertifikat ist an die Steuernummer des Unternehmens gebunden, nicht an eine Person.
- Post: Der Aktivierungsbrief geht an die Adresse zur Steuernummer. Eine zentrale Stelle muss ihn sich von dort weiterleiten lassen.
- Benutzerkonten: Das BSI empfiehlt ein Zertifikat je Person. Wer mehrere Unternehmen betreut, wechselt im Portal zwischen ihnen, wenn die Berechtigungen erteilt sind.
Besondere Registrierung nach § 34 BSIG
Für DNS-Diensteanbieter, Top Level Domain Name Registries, Domain-Name-Registry-Dienstleister, Cloud- und Rechenzentrumsanbieter, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke gilt zusätzlich § 34 BSIG. Anzugeben sind unter anderem die Hauptniederlassung und die sonstigen Niederlassungen in der EU.
Laut BSI läuft die Hauptniederlassung über die normale Registrierung. Haupt- und Zweigniederlassungen sowie gesetzliche Vertreter erfassen Sie zusätzlich in einer Excel-Vorlage des BSI.
Nach der Registrierung
- Änderungen melden: Ändern sich Angaben, teilen Sie das unverzüglich mit, spätestens binnen zwei Wochen ab Kenntnis (§ 33 Abs. 5 BSIG). Das geht im NIS-2-Bereich unter „Ihre Registrierung“.
- Stammdaten: Aus ELSTER übernommene Daten ändern Sie nur bei ELSTER.
- Rollen: Nach der Registrierung wird die Owner-Rolle automatisch vergeben. Das BSI empfiehlt mindestens zwei Owner, und der letzte lässt sich nicht entfernen.
- Portal nutzen: Dort melden Sie Sicherheitsvorfälle und erhalten Informationen des BSI, etwa Tageslageberichte.
- Unterlagen ablegen: Halten Sie die übermittelten Daten und das Datum fest.
Typische Stolpersteine
- Zertifikat beim Steuerberater: Zugang und Passwort liegen außerhalb des Unternehmens oder bei einer Person, die das Unternehmen verlässt.
- Nur die Mutter registriert: Die produzierende Tochter mit eigener Rechtspersönlichkeit fehlt.
- Persönliche Adresse als Kontakt: Bei Urlaub oder Wechsel erreicht die Information des BSI niemanden.
- IP-Bereiche nur aus dem Gedächtnis: Ein Standort oder eine Fernwartungsanbindung fehlt.
- Keine Pflege: Nach einem Umzug oder Zukauf bleiben die Daten alt.
Checkliste
- Einstufung und Einrichtungsart je Gesellschaft geklärt.
- Steuernummer und Zuständige für den MUK-Antrag festgelegt.
- Verwahrung von Zertifikat und Passwort geregelt.
- Funktionspostfach und Telefonnummern eingerichtet.
- Kontaktpersonen informiert.
- Öffentliche IP-Adressbereiche aller Standorte gesammelt.
- Mitgliedstaaten und Aufsichtsbehörden geklärt.
- Registrierung abgeschlossen, Datum dokumentiert.
- Mindestens zwei Owner benannt.
- Verantwortliche Person für Änderungen festgelegt.
Die Registrierung in Complass festhalten
Die Registrierung selbst geben Sie im BSI-Portal ab, Complass übermittelt nichts an Behörden. Damit die Daten nicht in einer Tabelle veralten, halten Sie den Stand im Portal fest:
- Frist aus dem Check: Das Ergebnis des Betroffenheitschecks nennt auch das Datum der Registrierung nach § 33 BSIG.
- Vorlage „Registrierungsdaten BSI“: Im NIS2-Projekt sammeln Sie alle Angaben, Kontaktstelle, Verwahrung des Zertifikats und Änderungen an einem Ort, mit Ausfüllhilfe.
- Je Gesellschaft: Unter Rechtspersonen tragen Sie Registrierungen mit Behörde, Status und Frist ein. Für Deutschland ist das BSI vorbelegt.
- Sichtbar für die Leitung: Die Pflichtenkarte im Geschäftsleitungs-Cockpit zeigt die Registrierung als Pflicht zur Einstufung.
Häufige Fragen
Wir sind schon länger betroffen und noch nicht registriert. Was tun?
Registrieren Sie sich jetzt, das BSI ruft ausdrücklich dazu auf. Beginnen Sie mit dem MUK-Antrag, weil der Brief Zeit braucht. Das BSI kann die Registrierung auch selbst vornehmen, wenn die Pflicht nicht erfüllt wird (§ 33 Abs. 3 BSIG).
Was kostet die Registrierung?
Die Zertifikatsdatei erstellt MUK laut BSI kostenlos. Zu weiteren Gebühren der Registrierung haben wir in den Anleitungen des BSI keine Angabe gefunden.
Wir haben keine deutsche Steuernummer. Geht das trotzdem?
Für MUK ist eine deutsche Steuernummer Voraussetzung, ein Sitz in Deutschland nicht. Wenden Sie sich sonst an das BSI und klären Sie zuerst, ob das BSI für Sie zuständig ist (§§ 59 und 60 BSIG).
Kann ein Dienstleister die Registrierung für uns übernehmen?
Die Anleitungen des BSI beschreiben das nicht ausdrücklich. Sie nennen externe Personen als mögliche Owner, jeder Nutzer braucht aber ein eigenes Zertifikat des registrierten Unternehmens. Klären Sie Einzelheiten direkt mit dem BSI.
Bestätigt die Registrierung unsere Einstufung?
Nein. Sie geben die Einstufung selbst an und bleiben für die Prüfung verantwortlich. Bewahren Sie Ihre Begründung deshalb auf.
In einer Demo zeigen wir Ihnen, wie Registrierung, Einstufung und Pflichten in Complass zusammenhängen.
Weiterlesen
- Leitfaden „Wer ist von NIS2 betroffen?“
- Leitfaden „NIS2 umsetzen: der Leitfaden in Schritten“
- Leitfaden „NIS2-Meldepflicht in der Praxis“
- NIS2 und BSIG in Complass: Betroffenheit, Pflichten und Umsetzung
- Kostenloser Betroffenheits-Check
Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich sind der aktuelle Wortlaut des BSIG und die Anleitungen des BSI.