BSI-Registrierung nach dem BSIG einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/bsi-registrierung

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Verpflichtete Einrichtungen müssen sich nach dem BSIG beim BSI registrieren und Pflichtangaben pflegen. Die Einordnung als wesentliche oder wichtige Einrichtung gehört zur Vorbereitung. Catenis hält die Checkliste und Nachweise; das BSI-Portal bleibt extern.

Registrierung ist die formelle Anmeldung der Einrichtung bei der Aufsicht: wer man ist, wie man erreichbar ist, in welchem Sektor man steht, welche öffentlichen IP-Bereiche dazugehören. Sie folgt der Einordnung, sie ersetzt sie nicht. Wer sich anmeldet, ohne die Pflicht geprüft zu haben, oder wer prüft und nie anmeldet, hat jeweils die halbe Arbeit.

Die Eingabe läuft über das vorgesehene Portal, typischerweise über das Unternehmenskonto und das BSI-Register. Catenis speichert, was intern vorbereitet und als erledigt markiert wurde: Checkliste, Datum, Kontakte. Es überträgt nichts ins Portal und holt keinen Bescheid.

Pflege gehört dazu. Wechsel der Leitung, neue Standorte, geänderte IP-Bereiche, anderer Sektor: die Angaben müssen nachgezogen werden. Eine Anmeldung aus dem Einführungsjahr ohne Wiedervorlage ist eine Falle für die nächste Auskunft.

Unternehmenskonto und Portalzugang sind Teil der Vorbereitung, nicht Fußnote. Ohne funktionierendes Konto startet die Eingabe nicht, auch wenn die interne Checkliste grün ist. Catenis markiert, was intern erledigt ist. Es legt das Konto nicht an und spricht nicht mit dem Portal.

Geltungsbereich

Pflichtig sind die nach BSIG erfassten Einrichtungen. Die gesetzliche Frist läuft ab dem Zeitpunkt, zu dem die Einrichtung erstmals oder erneut als solche gilt. Die genaue Frist steht im Gesetz; hier wird sie nicht als Hausnummer verkauft. Wer unsicher ist, ob er erfasst ist, klärt das vor der Anmeldung mit Beratung.

Die Einordnung wesentliche oder wichtige Einrichtung (im BSIG oft besonders wichtig / wichtig) ist Vorbereitung. Catenis nimmt die Selbsteinschätzung auf und entscheidet den Status nicht. Falsch zugeordnete Sektorangaben im Portal sind ein Problem der Einrichtung, nicht der Checkliste.

Nicht erfasst zu sein ist ebenfalls dokumentierbar: Tätigkeit, Größe, Begründung, Datum. Dann bleibt die Registrierung aus, und die Begründung muss später noch stehen. Ein stilles Nichts in der Akte ist keine Entscheidung.

Mehrere Standorte, öffentliche IP-Bereiche und Tätigkeiten in anderen Mitgliedstaaten machen die Angabe länger. Schätzen hilft hier wenig. Wer die Netze nicht kennt, holt die IT an den Tisch, bevor das Portal falsche Blöcke speichert. Die Checkliste in Catenis listet die Felder; sie füllt sie nicht aus dem Firmenbuch.

Was zu tun ist

Einordnung und Pflichtangaben intern sammeln: Name, Rechtsform, Anschrift, Kontakte, öffentliche IP-Bereiche, Sektor, betroffene Mitgliedstaaten, andere Aufsicht wo einschlägig. Lücken markieren, bevor jemand das Portal öffnet.

In Catenis die Maßnahme Registrierung führen: Checkliste, Datum, ob das Portal bedient wurde. Nachweise (Bestätigung, interner Screenshot der eigenen Daten) ablegen, soweit vorhanden. Die Plattform registriert nicht selbst.

Änderungen mit Owner versehen. Wer IP-Netze oder die Kontakt-Mail ändert, muss die Registerpflege auslösen. Ein jährlicher Blick auf die Liste verhindert, dass nur der Vorfall die Veraltung aufdeckt.

Die restlichen NIS-2-Maßnahmen nicht auf die Registrierungsbestätigung warten lassen. Leitlinie, Vorfälle und Lieferkette laufen parallel. Registrierung ist eine Zeile im Katalog, nicht das ganze Programm.

Nach der Anmeldung Datum und Kontakt wie im Portal intern spiegeln. Weicht die interne Mail von der Registermail ab, erreicht die Aufsicht niemanden. Owner für Änderungen benennen – oft Organisation plus IT, nicht „irgendwer aus der Einführung“.

Einordnung und Registrierung in derselben Woche denken, nicht als zwei Projekte. Ohne Einordnung fehlen Sektor und Label. Ohne Portal kennt die Aufsicht die Adresse nicht. Catenis hält beides als Checkliste, entscheidet keines von beiden.

Typischer Fehler

Der häufigste Fehler: Registrierung mit Erfüllung der Maßnahmen zu verwechseln. Angemeldet und ohne Leitlinie ist der schlechtere Zustand, weil die Aufsicht die Adresse kennt. Der zweite: Pflichtfelder schätzen, vor allem öffentliche IP-Bereiche. Falsche Netze sind schlechter als eine ehrlich offene Lücke mit Nachziehtermin.

Der dritte: die Einordnung in der Registrierung anders zu erzählen als intern. Portal sagt wesentlich, die Akte sagt wichtig. Spätestens die erste Auskunft zerlegt das.

Der vierte: den Portalzugang an eine einzelne Person zu binden, die das Unternehmen verlässt. Dann ist die Einrichtung gemeldet und niemand kommt mehr an die Angaben. Vertreter und Dokumentation des Kontos gehören zur Checkliste, bevor jemand kündigt. Wer die Checkliste in Catenis grün setzt, ohne das Portal bedient zu haben, hat die innere Liste belogen.

Grenze

Das Lexikon sagt nicht, ob ein Unternehmen sich anmelden muss oder welche Angabe im Einzelfall Pflicht ist. Das bleibt Gesetz, Portalhinweis und Beratung.

Catenis hält Checkliste und Nachweise. BSI-Portal, Einordnung und Behördenmeldung bleiben extern. Die Plattform registriert nicht und holt keinen Bescheid. Grün an der Maßnahme heißt: intern vorbereitet oder als erledigt markiert, nicht: das Register hat bestätigt. Pflichtangaben müssen nach Änderungen nachgezogen werden. Die Einordnung gehört zur Vorbereitung, nicht ins Portal geraten. Öffentliche IP-Bereiche schätzen ist schlechter als eine offene Lücke mit klarem Termin und Owner.