Registrierungspflicht (§ 33 BSIG)

Kurzdefinition: Die Registrierungspflicht nach § 33 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter, sich spätestens drei Monate nach Eintritt der Einrichtungseigenschaft beim Bundesamt zu registrieren und dabei bestimmte Angaben zu übermitteln. [N-BSIG-33]

Der Normwortlaut

§ 33 Abs. 1 BSIG verpflichtet die Einrichtungen, „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten … dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln“ — darunter Name, Anschrift, Kontaktdaten, Sektor und zuständige Aufsichtsbehörden. [N-BSIG-33]

Wer muss sich registrieren?

Besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter. Für Betreiber kritischer Anlagen gilt eine Besonderheit: Ihre Registrierung erfolgt nach § 33 Abs. 2 BSIG grundsätzlich über § 8 des KRITIS-Dachgesetzes; Übergangs- und KRITIS-DachG-Verordnungsfragen sind gesondert zu prüfen. Die Registrierungspflicht knüpft also an die Einstufung an — wer erfasst ist, muss sich melden. [N-BSIG-33]

Welche Frist gilt für die Registrierung?

Drei Monate ab dem Zeitpunkt, zu dem die Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Änderungen der übermittelten Angaben gilt eine eigene, kürzere Frist: Nach § 33 Abs. 5 BSIG sind geänderte Versorgungskennzahlen einmal jährlich, alle anderen Änderungen unverzüglich, spätestens jedoch binnen zwei Wochen ab Kenntnis zu übermitteln. [N-BSIG-33]

Was passiert, wenn die Registrierung unterbleibt?

Das Bundesamt kann die Einrichtung nach § 33 Abs. 3 BSIG selbst registrieren, wenn sie ihrer Pflicht nicht nachkommt. Rechtfertigen Tatsachen die Annahme, dass die Registrierung unterblieben ist, kann das Bundesamt nach § 33 Abs. 4 BSIG Unterlagen und Auskünfte verlangen. Die Registrierung ist damit keine formale Kür, sondern durchsetzbar. [N-BSIG-33]

Welche Angaben sind zu übermitteln?

Stammdaten der Einrichtung. Zu übermitteln sind nach § 33 BSIG unter anderem Name, Anschrift und Kontaktdaten, der Sektor und die zuständigen Aufsichtsbehörden. Die Registrierung ist damit die strukturierte Selbstauskunft, über die das Bundesamt die Einrichtung erfasst. [N-BSIG-33]

Wie schnell sind Änderungen der Angaben zu melden?

Gestuft. Geänderte Versorgungskennzahlen sind nach § 33 Abs. 5 BSIG einmal jährlich zu übermitteln, alle anderen Änderungen unverzüglich, spätestens jedoch binnen zwei Wochen ab Kenntnis. Die Registrierung ist damit kein einmaliger, sondern ein zu pflegender Datenbestand. [N-BSIG-33]

Häufige Fehlannahmen

• „Registrierung und Meldepflicht sind dasselbe.“ Nein. Die Registrierung nach § 33 BSIG ist die einmalige Anmeldung der Einrichtung; die Meldepflicht nach § 32 BSIG betrifft konkrete Sicherheitsvorfälle. [N-BSIG-33]
• „Betreiber kritischer Anlagen registrieren sich wie alle anderen.“ Nein. Für sie läuft die Registrierung nach § 33 Abs. 2 BSIG über § 8 des KRITIS-Dachgesetzes. [N-BSIG-33]
• „Änderungen kann man immer erst beim nächsten Turnus nachtragen.“ Nein. Versorgungskennzahlen und bestimmte Angaben zu kritischen Komponenten werden jährlich aktualisiert; alle anderen Änderungen sind unverzüglich, spätestens binnen zwei Wochen zu melden. [N-BSIG-33]
• „Für die Registrierung gibt es keine feste Frist.“ Nein. Die Angaben sind spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut betroffen ist, über das BSI-Portal zu übermitteln. [N-BSIG-33]
• „Die Registrierung ist ein rein formaler Akt ohne Bedeutung.“ Nein. Erst über die Registrierung erfassen die Einrichtungen ihre Zuordnung; ihr Unterlassen ist bußgeldbewehrt. [N-BSIG-33]
• „Das Bundesamt kann eine säumige Einrichtung nicht selbst registrieren.“ Doch. Nach § 33 Abs. 3 BSIG kann es die Registrierung selbst vornehmen. [N-BSIG-33]
• „Die Registrierung erfordert keine bestimmten Angaben.“ Nein. Zu übermitteln sind unter anderem Name, Anschrift, Kontaktdaten, Sektor und zuständige Aufsichtsbehörden. [N-BSIG-33]

Was die Geschäftsleitung tun sollte

1. Einstufung feststellen. Erst die Einordnung, dann die Registrierungsfrist von drei Monaten.
2. Verfahren wählen. Betreiber kritischer Anlagen registrieren sich über das KRITIS-Dachgesetz.
3. Kontaktdaten pflegen. Die meisten Änderungen sind unverzüglich, spätestens binnen zwei Wochen zu melden; jährliche Aktualisierungen sind gesondert zu planen.
4. Fristbeginn dokumentieren. Der Zeitpunkt der Einrichtungseigenschaft setzt die Drei-Monats-Frist in Gang.

Für die Geschäftsleitung

Die Registrierung ist der erste sichtbare Schritt in das NIS-2-Regime — und der einfachste, der versäumt wird. Drei Monate ab Einstufung, ein eigener Weg für Betreiber kritischer Anlagen, jährliche Aktualisierungen für die ausdrücklich genannten Angaben und im Übrigen Aktualisierungen spätestens binnen zwei Wochen. Wer den Zeitpunkt der Einrichtungseigenschaft sauber bestimmt, kennt seine Frist. Und weil das Bundesamt bei Untätigkeit selbst registrieren und Auskunft verlangen kann, ist die Pflicht keine Formalie.

Quellen

1. [N-BSIG-33] § 33 BSIG (Registrierungspflicht), Abs. 1 bis 5. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__33.html