--- title: "NIS2: Was Maschinenbauer jetzt nachholen müssen | logiccloud" description: "Die BSI-Registrierung war am 6. März fällig, die Nachfrist am 31. Juli. Beide sind vorbei — die Pflicht nicht. Was jetzt zu tun ist und in welcher Reihenfolge." url: https://logiccloud.com/nis2-verpasst-was-maschinenbauer-nachholen-muessen/ language: de-DE updated: 2026-09-12 --- [← Zurück zur Übersicht](https://logiccloud.com/wissen/) Wissen · 12. September 2026 · 4 Min. Lesezeit # NIS2 verpasst? Was Maschinenbauer jetzt nachholen müssen Die BSI-Registrierung war am 6. März fällig, die Nachfrist am 31. Juli. Beide sind vorbei — die Pflicht nicht. Was jetzt zu tun ist und in welcher Reihenfolge. Von **Bernhard Böhrer**, CEO ![NIS2 verpasst? Was Maschinenbauer jetzt nachholen müssen](https://logiccloud.com/_astro/nis2-welche-maschine-ist-betroffen.BbeKx3fs_Z2ekkOq.webp) Wenn Sie sich nicht beim BSI registriert haben, ist die kurze Antwort: **nachholen, und zwar jetzt.** Die gesetzliche Frist lief am 6. März 2026 ab, die vom BSI eingeräumte Nachfrist am 31. Juli 2026. Eine verstrichene Frist hebt die Pflicht nicht auf — sie macht die Nichtregistrierung zu einem eigenen Bußgeldtatbestand. Und die Meldepflichten gelten unabhängig davon, ob Sie registriert sind oder nicht. Sie sind damit nicht allein. Von rund 29.500 in Deutschland betroffenen Unternehmen hatten sich bis zum März-Stichtag etwa 11.500 gemeldet. Auch nach der Nachfrist blieb die Lücke bestehen. ## Fällt mein Unternehmen überhaupt darunter? Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem **6. Dezember 2025**, ohne Übergangsfrist. Es betrifft längst nicht mehr nur klassische KRITIS-Betreiber. Als Faustregel gilt: Unternehmen in einem der in den Anlagen 1 und 2 BSIG genannten Sektoren — dazu gehört das verarbeitende Gewerbe einschließlich Maschinen- und Anlagenbau — mit **mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme** fallen häufig darunter. Die Faustregel ersetzt die Prüfung nicht. Das BSI stellt dafür eine kostenlose, anonyme Betroffenheitsprüfung bereit; sie dauert wenige Minuten und ist der richtige erste Schritt, bevor jemand ein Projekt aufsetzt. ## NIS2 und CRA sind zwei verschiedene Dinge Das wird regelmäßig vermischt, kostet Zeit und führt zu Maßnahmen an der falschen Stelle. Beide betreffen Maschinenbauer, aber an unterschiedlichen Stellen: | | NIS2 / NIS2UmsuCG | Cyber Resilience Act | | ---------------- | ---------------------------------------- | ---------------------------------------------------- | | Reguliert | Ihr Unternehmen als Einrichtung | Ihr Produkt am Markt | | Geht es um | Ihre eigene IT und OT | die Maschine, die Sie ausliefern | | Gilt seit | 6. Dezember 2025 | Meldepflichten seit 11. September 2026 | | Voll anwendbar | sofort, ohne Übergangsfrist | 11. Dezember 2027 | | Zentrale Pflicht | Risikomanagement, Registrierung, Meldung | Schwachstellen beherrschen, Updates liefern, Meldung | Kurz: **NIS2 fragt, wie sicher Sie arbeiten. Der CRA fragt, wie sicher das ist, was Sie verkaufen.** Wer beides zusammen plant, macht die Arbeit einmal. Was der CRA konkret verlangt, steht auf unserer [Seite zum Cyber Resilience Act](https://logiccloud.com/cra/). ## Was jetzt zu tun ist, in dieser Reihenfolge 1. **Betroffenheit prüfen.** BSI-Selbsttest, wenige Minuten. Ergebnis dokumentieren — auch ein „nicht betroffen” will später belegt sein. 2. **Registrieren.** Über das Melde- und Unterrichtungskanal-Portal des BSI (`muk.bsi.bund.de`). Dafür wird ein ELSTER-Organisationszertifikat benötigt; das zu beantragen dauert, also zuerst anstoßen. 3. **Meldefähigkeit herstellen.** § 32 BSIG verlangt bei einem erheblichen Sicherheitsvorfall eine Erstmeldung **innerhalb von 24 Stunden**, eine qualifizierte Meldung **innerhalb von 72 Stunden** und eine Abschlussmeldung **innerhalb eines Monats**. Diese Fristen laufen ab Kenntnis — nicht ab Behebung. 4. **Risikomanagement dokumentieren.** § 30 BSIG nennt zehn Maßnahmenbereiche, von Risikoanalyse über Vorfallsbewältigung und Business Continuity bis zu Zugriffskontrolle und Lieferkettensicherheit. Entscheidend ist die Nachweisbarkeit: Eine Entscheidung, die nur im Kopf existiert, lässt sich später nicht verteidigen. 5. **Geschäftsleitung einbinden.** § 38 BSIG macht das zur Chefsache: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Delegieren geht hier nicht. ## Und was hat das mit der Steuerung zu tun? Mehr, als es zunächst aussieht. Drei der zehn Maßnahmenbereiche laufen darauf hinaus, dass Sie über Ihre eigene OT dieselben Aussagen treffen können müssen wie über Ihre IT: - **Welche Software läuft wo?** Eine Anlage, deren Softwarestand niemand kennt, lässt sich nicht in eine Risikoanalyse schreiben. - **Wie kommt ein Sicherheitsupdate dorthin?** Wenn die Antwort „jemand fährt hin” lautet, ist die 24-Stunden-Uhr schon abgelaufen, bevor die erste Maßnahme greift. - **Wer hat wann was geändert?** Ohne Rollen, Rechte und ein Protokoll gibt es keinen Nachweis, nur Erinnerung. Genau diese drei Fragen beantwortet [logiccloud ORCHESTRATE](https://logiccloud.com/produkte/orchestrate/): Geräte und Softwarestände zentral erfassen, Updates kontrolliert ausrollen — mit Rollback, wenn etwas schiefgeht —, Zugriffe über Rollen steuern und Änderungen protokollieren. Die Bausteine heißen IDENTIFY, CONTROL, UPDATE, MONITOR und AUDIT, und sie funktionieren auch mit bestehenden Systemen, nicht nur mit Steuerungen von logiccloud. Das macht Sie nicht automatisch NIS2-konform — Konformität ist eine Organisationsleistung, keine Produkteigenschaft. Es beantwortet aber die Fragen, an denen technische Nachweise sonst scheitern. ## Der nächste Schritt Wenn Sie nicht sicher sagen können, welche Softwareversion gerade auf welcher Anlage im Feld läuft, fangen Sie dort an. Alles andere in NIS2 baut auf dieser Auskunft auf. [Sprechen Sie mit uns über Ihre installierte Basis](https://logiccloud.com/kontakt/) — wir schauen uns gemeinsam an, welche Nachweise sich aus Ihrem heutigen Stand überhaupt erzeugen lassen. --- **Quellen, geprüft am 12. September 2026** - Gesetzestext § 30, § 32, § 33 und § 38 BSIG: - BSI-Registrierung, Fristen und Nachfrist bis 31. Juli 2026: - Registrierungsstand (rund 29.500 betroffene, rund 11.500 registrierte Unternehmen): - Was bei versäumter Registrierung gilt: Dieser Artikel ist eine fachliche Einordnung und keine Rechtsberatung. ## Weitere Artikel [Alle Fachartikel](https://logiccloud.com/wissen/) - Wissen · 14. September 2026 ### [CRA-Meldepflicht: 24 Stunden, ab Kenntnis](https://logiccloud.com/cra-meldepflicht-24-stunden-ab-kenntnis/) Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act — auch für Maschinen, die längst ausgeliefert sind. Welche Fristen laufen, und was Sie dafür wissen müssen. - Wissen · 12. September 2026 ### [Margo vor dem ersten Release: Was Maschinenbauer davon haben](https://logiccloud.com/margo-vor-dem-ersten-release/) Preview Release 2 ist da, das erste allgemeine Release für 2026 geplant. Was der offene Edge-Standard konkret ändert — und was Sie heute schon tun können. - Wissen · 12. September 2026 ### [Auch Siemens virtualisiert die SPS. Wem gehört die Software?](https://logiccloud.com/virtuelle-sps-wem-gehoert-die-software/) Siemens stellte auf der Hannover Messe 2026 die S7-1500V in den Mittelpunkt. Die virtuelle SPS ist damit gesetzt. Nur: Hardwarefrei heißt nicht herstellerfrei.