Die Registrierung ist die erste Pflicht, die nach der Einstufung fällig wird – und die mit der klarsten Frist. § 33 BSIG verlangt sie „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten“. Die Frist läuft also nicht ab einer Aufforderung des BSI, sondern ab dem Tag, an dem die Voraussetzungen des § 28 erfüllt sind. Niemand teilt Ihnen diesen Tag mit.
Registriert wird beim Bundesamt für Sicherheit in der Informationstechnik über eine Registrierungsmöglichkeit, die das BSI gemeinsam mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe betreibt. Die Pflicht trifft besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Dienstleister gleichermaßen.
Die fünf Pflichtangaben nach § 33 Abs. 1
Vier davon hat jede Verwaltung zur Hand. Die fünfte – die öffentlichen IP-Adressbereiche – ist der Punkt, an dem die IT gebraucht wird.
| Angabe | Was gemeint ist | Wer sie liefert |
|---|---|---|
| Name, Rechtsform, Handelsregisternummer | Die Einrichtung als juristische Person, so wie sie im Register steht | Geschäftsführung, Verwaltung |
| Anschrift, Kontaktdaten, E-Mail, Telefon, öffentliche IP-Adressbereiche | Erreichbarkeit für Rückfragen und Warnungen – und die Adressbereiche, über die das Haus im Internet auftritt | Verwaltung und IT gemeinsam |
| Relevanter Sektor oder Branche | Die Zuordnung zu Anlage 1 oder 2, die die Einstufung begründet | Geschäftsführung, gegebenenfalls Rechtsberatung |
| EU-Mitgliedstaaten, in denen Dienste erbracht werden | Für Häuser mit Standorten oder Kunden im europäischen Ausland | Geschäftsführung |
| Zuständige Aufsichtsbehörden des Bundes und der Länder | Je nach Sektor unterschiedlich – etwa Datenschutzaufsicht, Energieaufsicht, Gesundheitsbehörden | Geschäftsführung, Rechtsberatung |
Der Weg zur Registrierung
Vier Schritte, von denen der erste der wichtigste ist – weil er den Beginn der Frist bestimmt.
- Betroffenheit feststellen und datierenHalten Sie schriftlich fest, seit wann Ihr Haus die Voraussetzungen des § 28 erfüllt. Dieses Datum ist der Beginn der Dreimonatsfrist. Für Häuser, die am 6. Dezember 2025 bereits erfasst waren, ist es dieser Tag.
- Angaben zusammenstellenRegisterauszug, Sektorzuordnung mit Begründung, Liste der Aufsichtsbehörden, Kontaktdaten einer erreichbaren Stelle. Die IT liefert die öffentlichen IP-Adressbereiche – alle, auch die der Nebenstandorte und der Cloud-Dienste, soweit sie dem Haus zugeordnet sind.
- RegistrierenÜber das Portal von BSI und BBK. Bewahren Sie die Bestätigung auf – sie ist der Nachweis, dass die Frist eingehalten wurde.
- Änderungen nachführen§ 33 Abs. 5 verlangt, Änderungen unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln. Ein neuer Geschäftsführer, ein Umzug, ein neuer Adressbereich – jedes davon löst die Zweiwochenfrist aus.
Was in der Praxis vergessen wird
Die Zweiwochenfrist für Änderungen ist strenger als die Dreimonatsfrist für die Erstregistrierung, und sie wird häufiger verletzt – nicht aus Nachlässigkeit, sondern weil niemand sie im Blick hat. Wer die Registrierung einmal erledigt und abgeheftet hat, denkt beim nächsten Wechsel in der Geschäftsführung nicht an das BSI. Es hilft, die Registrierung in die Liste der Stellen aufzunehmen, die bei Änderungen im Handelsregister ohnehin informiert werden.
Der zweite häufige Fehler betrifft die IP-Adressbereiche. Gemeldet werden die, die der Verwaltung bekannt sind – der Hauptanschluss. Vergessen werden die Bereiche von Nebenstandorten, von Diensten in der Cloud und von Anschlüssen, die ein Dienstleister im Namen des Hauses betreibt. Das BSI nutzt diese Angaben, um Warnungen zuzuordnen; ein nicht gemeldeter Bereich erhält keine.
Der dritte Punkt ist die Begründung der Sektorzuordnung. Das Portal fragt nach dem Sektor, nicht nach der Begründung – aber bei einer späteren Prüfung wird gefragt, warum Sie sich so eingeordnet haben. Eine kurze Notiz zum Zeitpunkt der Registrierung erspart später die Rekonstruktion.
Häufige Fragen
- Was passiert, wenn wir die Dreimonatsfrist versäumt haben?
- Registrieren Sie sich trotzdem, so schnell wie möglich. Angaben nach § 33 nicht, nicht vollständig oder nicht rechtzeitig zu übermitteln, ist nach § 65 Abs. 2 Nr. 6 BSIG eine Ordnungswidrigkeit mit bis zu 500.000 Euro Bußgeld – verspätet und unterlassen sind derselbe Tatbestand, nur die Bemessung unterscheidet sich. Dokumentieren Sie, warum es zur Verspätung kam – etwa weil die Betroffenheit erst nach einer Prüfung feststand.
- Müssen wir uns registrieren, wenn wir nur über die Lieferkette betroffen sind?
- Nein. Die Registrierungspflicht trifft Einrichtungen im Sinne des § 28, nicht deren Zulieferer. Wer nur vertraglich Anforderungen eines Kunden erfüllt, registriert sich nicht beim BSI – er weist dem Kunden nach, was der Vertrag verlangt.
- Gibt es Kosten für die Registrierung?
- Das Gesetz sieht für die Registrierung selbst keine Gebühr vor. Kosten entstehen durch die Zusammenstellung der Angaben und die laufende Pflege – und durch die Maßnahmen, die mit der Einstufung verbunden sind.
- Was ist der Unterschied zwischen Registrierung und Meldung?
- Die Registrierung nach § 33 ist einmalig und sagt dem BSI, dass es Sie gibt. Die Meldung nach § 32 ist anlassbezogen und sagt dem BSI, dass bei Ihnen etwas passiert ist. Die Registrierung ist die Voraussetzung dafür, dass eine Meldung im Vorfall überhaupt zügig abgesetzt werden kann – wer dann erst Zugangsdaten beantragt, verliert die 24 Stunden.
Quellen und Nachweise
- § 33 BSIG – Registrierungspflicht · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- § 32 BSIG – Meldepflichten · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- § 65 BSIG – Bußgeldvorschriften · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich