NIS-2: Das BSI sucht die Unregistrierten

Die gesetzliche Frist ist abgelaufen: Wer seit Dezember 2025 unter das BSI-Gesetz fällt, hätte sich bis Anfang März 2026 registrieren müssen. Nach einem Bericht des Tagesspiegels will das BSI nun auf bislang unregistrierte Einrichtungen zugehen. Für Energie-, Immobilien- und Versorgungsgenossenschaften ist deshalb jetzt der richtige Zeitpunkt, die eigene Betroffenheit zu prüfen und die Informationssicherheit nachvollziehbar zu organisieren. Mit AWADO ISMS kompakt hat die AWADO dafür einen schlanken Ansatz entwickelt, der ohne großes IT-Projekt auskommt.

Was das BSI vorhat

Bis zum 30. September 2026 haben sich nach Angaben des BSI 20.141 Einrichtungen registriert, erwartet werden knapp 30.000. Wer betroffen ist, sollte die Registrierung jetzt nachholen. „Noch im vierten Quartal beginnen wir eine Durchsetzungsinitiative“, sagt BSI-Abteilungsleiter Timo Hauschild dem Tagesspiegel. Die Behörde will Unternehmen ansprechen, die sich offensichtlich hätten registrieren müssen, mit Anhörung und möglichem Bußgeld. Angekündigte Audits ab 2027 betreffen zunächst besonders wichtige Einrichtungen; andere Einrichtungen prüft das BSI bei Anhaltspunkten für Verstöße (§ 62 BSIG). Die Registrierungspflicht gilt unabhängig davon.

Selbsttest: Könnte Ihre Genossenschaft betroffen sein?

1. Größe: Beschäftigt Ihre Genossenschaft im Jahresdurchschnitt mindestens 50 Vollzeitkräfte oder liegen Umsatz und Bilanzsumme jeweils über 10 Millionen Euro, und zwar zwei Jahre in Folge? Teilzeitkräfte werden anteilig berücksichtigt, Auszubildende nicht. Verbundene Unternehmen können in die Betrachtung einzubeziehen sein.

2. Energie und Wärme: Erzeugen, verteilen oder liefern Sie Strom, Gas oder Wärme, betreiben Sie entsprechende Netze oder gehören Energieanlagen und energiewirtschaftliche Dienstleistungen zu Ihrem wesentlichen Geschäft? Solche Tätigkeiten können einer Einrichtungsart nach Anlage 1 des BSI-Gesetzes zuzuordnen sein, sodass eine NIS-2-Betroffenheit möglich ist. Die Anlagen-IT kann zusätzlich energierechtlichen Anforderungen unterliegen.

3. Wasser und Abwasser: Übernimmt Ihre Genossenschaft Aufgaben der Trinkwasserversorgung oder Abwasserentsorgung? Auch diese Tätigkeiten können einer Einrichtungsart zuzuordnen sein. Entscheidend sind die konkret wahrgenommen Aufgabe, die Unternehmensgröße und ggf. der Betrieb einer kritischen Anlage.

4. Immobilienwirtschaft: Bei Wohnungs- und Immobiliengenossenschaften ist zu prüfen, ob neben der Bewirtschaftung von Immobilien weitere relevante Tätigkeiten bestehen, etwa eine eigene Energie- oder Wärmeversorgung. Auch Tochter- und Beteiligungsgesellschaften sollten in die strukturiere Prüfung einbezogen werden.

Der Selbsttest bietet eine erste Orientierung. Für die Betroffenheit kommt es auf die Zuordnung der konkreten Tätigkeiten zu den Einrichtungsarten der Anlagen 1 und 2 zum BSI-Gesetz, die Unternehmensgröße sowie mögliche Sondertatbestände an. Eine strukturierte Betroffenheitsprüfung schafft hier Klarheit.

Auch ohne direkte Betroffenheit zählt die Lieferkette

Nicht jede Energie-, Immobilien- oder Versorgungsgenossenschaft wird unmittelbar unter das BSI-Gesetz fallen. Relevanz kann dennoch entstehen: Regulierte Geschäftspartner müssen die Sicherheit ihrer Lieferketten berücksichtigen (§ 30 Abs. 2 Nr. 4 BSIG) und können entsprechende Nachweise oder Auskünfte verlangen. Wer Zuständigkeiten, Systeme, Dienstleister und Notfallabläufe geordnet dokumentiert hat, kann solche Anfragen fundiert beantworten. Gleichzeitig stärkt diese Vorbereitung den eigenen Betrieb, etwa bei Ausfällen von Netzleittechnik, Gebäudeautomation, Messsystemen, Abrechnung, Mitglieder- oder Kundenportalen.

Wissen, wo man steht

Genau hier setzt AWADO ISMS kompakt an: Das Excel-basierte Werkzeug der AWADO, unterstützt Genossenschaften dabei, ihre Informationssicherheit strukturiert zu erfassen, zu dokumentieren und schrittweise weiterzuentwickeln. Ausgangspunkt ist eine Betroffenheitsprüfung. Anschließend beantwortet die Genossenschaft verständlich formulierte Fragen zu den tatsächlich eingesetzten IT-Bausteinen. Bei einer möglichen NIS-2-Betroffenheit werden ergänzende Fragen zu den gesetzlichen Pflichten einbezogen. Die Übersicht macht Handlungsbedarfe sichtbar und zeigt, welche Schritte als Nächstes anstehen.

Am Ende von acht strukturierten Schritten liegen praxisgerechte Unterlagen vor: ein Managementbericht, eine Nachweismappe und eine Notfallkarte, die Zuständigkeiten und erste Maßnahmen bei einem Systemausfall festhält. Das Werkzeug benötigt keinen Server und keine Makros; die Daten bleiben in der Geschäftsstelle. Die Unterlagen unterstützen den Vorstand dabei, Handlungsbedarfe nachzuhalten und die Wahrnehmung seiner Verantwortung zu dokumentieren. Bei regulierten Genossenschaften verbleiben Umsetzung und Überwachung der gesetzlichen Risikomanagementmaßnahmen bei der Geschäftsleitung. Die AWADO WPG GmbH begleitet Genossenschaften beim Aufbau; AWADO ISMS kompakt dient dabei als Arbeits- und Dokumentationswerkzeug. Mappe und Berichte verbleiben bei der Genossenschaft.

Webinar: AWADO ISMS kompakt kennenlernen
8. Dezember 2026 | 14:00 bis 15:00 Uhr

Mit AWADO ISMS kompakt erhalten kleine Genossenschaften ein schlankes Informationssicherheits-Managementsystem, das zugleich die erforderlichen Nachweise für das BSI strukturiert dokumentiert. Im Webinar erfahren Sie, wie Sie Ihre Informationssicherheit ohne großes IT-Projekt systematisch aufstellen.

Hier geht es direkt zur Webinar-Anmeldung: Zum Webinar: „Informationssicherheit ohne IT-Projekt: der schlanke Weg für kleine Genossenschaften.
Ansprechpartner: Igor Sturm, Senior Manager Informationssicherheit | M +49 170 714 1134 |

Quellen: BSI, „NIS-2 in Zahlen“, Stand 30.09.2026, und BSI-FAQ; Gesetzesbegründung BT-Drs. 21/1501; Tagesspiegel Background vom 8. Oktober 2026. Der Selbsttest ist eine erste Orientierung, keine verbindliche Auskunft. Dieser Beitrag gibt eine fachliche Orientierung und ersetzt keine Rechtsberatung im Einzelfall.