Wer muss sich nach NIS2 beim BSI registrieren?

Alle wichtigen und besonders wichtigen Einrichtungen nach § 28 BSIG. Im Gesundheitswesen sind das in der Regel Krankenhäuser, MVZ, Pflegeeinrichtungen und andere Gesundheitsdienstleister ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Verbundene Unternehmen werden grundsätzlich mitgerechnet.

Bis wann musste die Registrierung erfolgen?

Spätestens drei Monate, nachdem eine Einrichtung erstmals betroffen ist. Für Einrichtungen, die schon beim Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 betroffen waren, endete die Frist am 6. März 2026. Die Pflicht besteht weiter; wer noch nicht registriert ist, sollte das sofort nachholen.

Wie funktioniert die Registrierung im BSI-Portal?

In zwei Schritten: Zuerst wird über ELSTER ein Zugang „Mein Unternehmenskonto“ (MUK) mit Organisationszertifikat eingerichtet, dann meldet man sich damit im BSI-Portal an und registriert die Einrichtung im NIS-2-Bereich – mit Einstufung, Sektor, Aufsichtsbehörden, Kontaktstelle, Kontaktpersonen und öffentlichen IP-Adressbereichen.

Muss sich jedes Krankenhaus eines Klinikverbunds einzeln registrieren?

Registriert wird jede betroffene Einrichtung. Für jede Einrichtung wird ein eigenes Profil in „Mein Unternehmenskonto“ benötigt. Bei Verbünden mit mehreren rechtlich selbstständigen Gesellschaften ist deshalb in der Regel jede Gesellschaft gesondert zu registrieren.

Was passiert, wenn sich ein Krankenhaus nicht registriert?

Eine fehlende, falsche oder verspätete Registrierung ist eine Ordnungswidrigkeit und kann mit bis zu 500.000 Euro geahndet werden (§ 65 BSIG). Das BSI kann die Registrierung zudem selbst vornehmen und Unterlagen anfordern.

Müssen Änderungen nachgemeldet werden?

Ja. Ändern sich die Angaben – etwa Kontaktpersonen, IP-Adressbereiche oder Aufsichtsbehörden –, sind sie unverzüglich, spätestens innerhalb von zwei Wochen im BSI-Portal zu aktualisieren (§ 33 Abs. 5 BSIG).

NIS2-Registrierung beim BSI für Krankenhäuser

Kurze Antwort

Krankenhäuser, MVZ und Pflegeeinrichtungen, die als wichtige oder besonders wichtige Einrichtung gelten – in der Regel ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Umsatz und Bilanzsumme –, müssen sich nach § 33 BSIG beim BSI registrieren. Die Registrierung erfolgt in zwei Schritten: Zugang über „Mein Unternehmenskonto“ (MUK) mit ELSTER-Organisationszertifikat, dann Registrierung im BSI-Portal. Die Frist für bereits betroffene Einrichtungen endete am 6. März 2026; die Pflicht besteht weiter. Wer sich nicht registriert, riskiert ein Bußgeld von bis zu 500.000 Euro.

Stand: November 2026

Das Wichtigste in Kürze

Registrieren muss sich jede betroffene Einrichtung – bei Verbünden meist jede Gesellschaft einzeln.
Die Frist beträgt drei Monate ab Betroffenheit; die Frist für bereits betroffene Einrichtungen ist abgelaufen.
Für den Zugang braucht die Einrichtung eine deutsche Steuernummer und ein ELSTER-Organisationszertifikat.
Wichtig sind eine Kontaktstelle mit Funktionspostfach, mehrere sachkundige Kontaktpersonen und die öffentlichen IP-Adressbereiche.
Änderungen sind binnen zwei Wochen nachzumelden; der Portalzugang wird auch für Meldungen von Sicherheitsvorfällen gebraucht.

Wer muss sich registrieren?

Kurze Antwort

Alle wichtigen und besonders wichtigen Einrichtungen nach § 28 BSIG. Im Sektor Gesundheit entscheiden vor allem Beschäftigtenzahl, Umsatz und Bilanzsumme.

Einrichtung	Typische Einstufung	Registrierung
Krankenhaus ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme	besonders wichtige Einrichtung	ja
Krankenhaus, MVZ oder Pflegeeinrichtung ab 50 Beschäftigten oder mit jeweils mehr als 10 Mio. Euro Umsatz und Bilanzsumme	wichtige Einrichtung	ja
Betreiber einer kritischen Anlage	besonders wichtige Einrichtung	ja; die Anlage selbst wird nach dem KRITIS-Dachgesetz registriert
Kleinere Einrichtungen unterhalb der Schwellen	nicht erfasst	nein (für Krankenhäuser gilt trotzdem § 391 SGB V)

Für die Größe zählen die Regeln der EU-Empfehlung 2003/361/EG; Daten von Partner- und verbundenen Unternehmen werden grundsätzlich hinzugerechnet. Eine erste Einschätzung gibt der NIS2-Check, Hintergründe der Leitartikel KRITIS und NIS2 im Gesundheitswesen.

Welche Fristen gelten?

Kurze Antwort

Drei Monate ab Betroffenheit. Für Einrichtungen, die schon am 6. Dezember 2025 betroffen waren, endete die Frist am 6. März 2026; das BSI hat danach eine Nachfrist bis Ende Juli 2026 eingeräumt.

Situation	Frist
Bereits beim Inkrafttreten (6. Dezember 2025) betroffen	6. März 2026 – abgelaufen, sofort nachholen
Erstmals oder erneut betroffen, etwa durch Wachstum oder Fusion	drei Monate ab Betroffenheit
Änderung registrierter Angaben	unverzüglich, spätestens zwei Wochen

Wie läuft die Registrierung ab?

Kurze Antwort

In zwei Schritten: Zuerst „Mein Unternehmenskonto“ bei ELSTER einrichten, dann im BSI-Portal die Einrichtung registrieren.

Schritt 1: „Mein Unternehmenskonto“ (MUK)

Voraussetzung ist eine deutsche Steuernummer der Einrichtung.
Über MUK wird ein ELSTER-Organisationszertifikat beantragt; für jede betroffene Einrichtung wird ein eigenes Profil benötigt.
Name und Anschrift der Einrichtung kommen später aus dem Zertifikat und lassen sich im BSI-Portal nicht ändern – Fehler sind in „Mein ELSTER“ zu korrigieren.

Schritt 2: Registrierung im BSI-Portal

Unter portal.bsi.bund.de mit MUK anmelden, Organisationszertifikat hochladen, Datenweitergabe bestätigen.
Im NIS-2-Bereich „Zur NIS-2-Registrierung“ wählen.
Angeben, ob die Einrichtung als Betreiber einer kritischen Anlage registriert ist (dann mit Institutions-ID).
NIS-2-Einstufung wählen: wichtige oder besonders wichtige Einrichtung.
Sektor (Gesundheit), Branche, Einrichtungsart, EU-Mitgliedstaaten und alle zuständigen Aufsichtsbehörden des Bundes und der Länder angeben.
NIS-2-Kontaktstelle benennen – am besten mit Funktionspostfach statt persönlicher Adresse.
Eine oder mehrere Kontaktpersonen benennen, die zu NIS2 und BSI-Gesetz auskunftsfähig sind, mit ihrer Rolle.
Alle öffentlichen statischen IP-Adressbereiche in CIDR-Notation angeben (IPv4 und IPv6).
„Registrierung abschließen“.

Welche Angaben verlangt § 33 BSIG?

Angabe	Hinweis für Krankenhäuser
Name, Rechtsform, Handelsregisternummer	aus dem ELSTER-Organisationszertifikat
Anschrift und aktuelle Kontaktdaten mit E-Mail, Telefon und öffentlichen IP-Adressbereichen	IP-Bereiche mit der IT und gegebenenfalls dem Provider abstimmen
Sektor und Branche	Gesundheit; bei weiteren Tätigkeiten, etwa Labor oder Apotheke, zusätzliche Einrichtungsarten
EU-Mitgliedstaaten, in denen Dienste erbracht werden	meist nur Deutschland
Zuständige Aufsichtsbehörden des Bundes und der Länder	nicht nur für IT-Sicherheit, sondern für die Tätigkeit insgesamt

Wer sollte im Haus zuständig sein?

Kurze Antwort

Die Geschäftsleitung verantwortet die Registrierung; vorbereiten sollten sie der Informationssicherheitsbeauftragte, die IT und die Verwaltung gemeinsam.

Geschäftsleitung: entscheidet über die Einstufung und trägt die Verantwortung.
Informationssicherheitsbeauftragter: häufig die NIS2-Kontaktperson – siehe Informationssicherheitsbeauftragter im Krankenhaus.
IT: öffentliche IP-Adressbereiche, Funktionspostfach, technische Erreichbarkeit.
Finanz- und Rechtsabteilung: Steuernummer, ELSTER-Zertifikat, Konzernstruktur, Aufsichtsbehörden.

Der Portalzugang wird auch für Meldungen erheblicher Sicherheitsvorfälle gebraucht. Mindestens zwei Personen sollten ihn nutzen können – auch nachts und am Wochenende. Wie die Meldung abläuft, erklärt der Artikel NIS2-Meldepflicht im Krankenhaus.

Checkliste

Einstufung nach § 28 BSIG dokumentiert, einschließlich verbundener Unternehmen
Steuernummer und ELSTER-Organisationszertifikat für jede betroffene Einrichtung vorhanden
Funktionspostfach für die NIS-2-Kontaktstelle eingerichtet
Mindestens zwei sachkundige Kontaktpersonen benannt und informiert
Öffentliche IP-Adressbereiche vollständig erfasst
Zuständige Aufsichtsbehörden ermittelt
Registrierung abgeschlossen und Bestätigung abgelegt
Prozess für Änderungen binnen zwei Wochen festgelegt
Portalzugang für Vorfallmeldungen getestet

Fazit

Die NIS2-Registrierung ist schnell erledigt, wenn Steuernummer, ELSTER-Zertifikat, Kontaktdaten und IP-Adressbereiche bereitliegen – und sie ist die Voraussetzung, um im Ernstfall Sicherheitsvorfälle über das BSI-Portal zu melden. Wer die Frist verpasst hat, sollte die Registrierung jetzt nachholen und dabei gleich die Zuständigkeiten für Änderungen und Meldungen klären.

Bei Einstufung, Registrierung und den nächsten Schritten unterstützt Sie unsere NIS2-Beratung für Krankenhäuser.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

§ 33 BSIG – Registrierungspflicht. Bundesministerium der Justiz.
§ 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen. Bundesministerium der Justiz.
§ 65 BSIG – Bußgeldvorschriften. Bundesministerium der Justiz.
Schritt-für-Schritt-Anleitung für die Registrierung im BSI-Portal. BSI.
NIS-2-regulierte Unternehmen. BSI.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

NIS2-Registrierung beim BSI: Was Krankenhäuser, MVZ und Pflegeeinrichtungen tun müssen

Wer muss sich registrieren?

Welche Fristen gelten?

Wie läuft die Registrierung ab?

Welche Angaben verlangt § 33 BSIG?

Wer sollte im Haus zuständig sein?

Checkliste

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.