NIS2: Das BSI geht jetzt auf Unternehmen zu, die nicht registriert sind. Was Entsorger wissen sollten

Seit dem 6. März 2026 hätten sich alle Entsorgungsbetriebe beim BSI registrieren müssen, die unter NIS2 fallen. Die Nachfrist, die das BSI den Verbänden genannt hatte, lief am 31. Juli ab. Bisher blieb es ruhig. Das ändert sich jetzt. In einem Interview mit dem Tagesspiegel hat Timo Hauschild, Abteilungsleiter beim BSI, Anfang Oktober eine „Durchsetzungsinitiative“ für das vierte Quartal angekündigt. Zuerst will das BSI Einrichtungen anschreiben, bei denen die Registrierungspflicht aus Sicht der Behörde offensichtlich ist. „Da wird es nicht sofort ein Bußgeld geben“, sagte Hauschild. Es folgt erst eine Anhörung, am Ende kann ein Bußgeld stehen. Ab dem ersten Quartal 2027 will das BSI einzelnen Einrichtungen Prüfungen ihrer IT-Sicherheit anordnen.

Für die Kreislaufwirtschaft ist das keine Randnotiz. Die Abfallbewirtschaftung steht seit dem 6. Dezember 2025 ausdrücklich im BSI-Gesetz, und viele Betriebe haben das bis heute nicht auf dem Schirm. Gestern haben wir dazu eine eigene Leistungsseite veröffentlicht: NIS2 für Entsorger und Recyclingbetriebe. Hier geht es um die Frage, die sich jetzt stellt: Was bedeutet die Initiative für einen Betrieb, der noch nicht registriert ist?

Offenlegung: Wir beraten Entsorgungsbetriebe bei NIS2 und verdienen damit Geld. Wir sind keine Kanzlei. Die Gesetzeszitate stammen aus dem BSI-Gesetz in der Fassung auf gesetze-im-internet.de, die Zahlen von der Seite „NIS-2 in Zahlen“ des BSI, beides abgerufen am 21. Oktober 2026. Die rechtliche Prüfung im Einzelfall gehört zu einer Anwältin oder einem Anwalt.

Was die Zahlen sagen und was nicht

Zum Stichtag 30. September 2026 zählt das BSI 20.373 Registrierungen einschließlich Nebenniederlassungen, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen. Laut dem Bericht über das Interview rechnet das BSI mit knapp 30.000 betroffenen Einrichtungen. Rund ein Drittel fehlt also, mehr als sieben Monate nach Fristende.

Für die Abfallbewirtschaftung weist das BSI 1.017 Registrierungen aus. Mehrfachnennungen sind möglich, ein Betrieb mit Müllheizkraftwerk kann also auch unter Energie zählen. Wie viele Entsorger das BSI insgesamt erwartet, veröffentlicht es nicht. Wie groß die Lücke in unserer Branche ist, lässt sich deshalb nicht seriös beziffern. Wer anderes liest, sollte nach der Quelle fragen.

Die nächste Auswertung kündigt das BSI für den 31. Januar 2027 an.

Wer betroffen ist

Anlage 2 des BSI-Gesetzes nennt als Sektor Nr. 2 die Abfallbewirtschaftung, gemeint sind „Unternehmen der Abfallbewirtschaftung nach § 3 Absatz 14 KrWG, ausgenommen Unternehmen, für die Abfallbewirtschaftung nicht ihre Hauptwirtschaftstätigkeit ist“. Das Kreislaufwirtschaftsgesetz zählt dazu die Bereitstellung, Überlassung, Sammlung, Beförderung, Verwertung und Beseitigung von Abfällen einschließlich der Sortierung, außerdem die Tätigkeiten von Händlern und Maklern. Der Containerdienst gehört also ebenso dazu wie die Sortieranlage, der Schrotthändler oder der Entsorgungsmakler ohne eigenen Fuhrpark.

Wichtige Einrichtung ist nach § 28 Absatz 2 BSIG, wer in diesem Sektor mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Jahresbilanzsumme. Besonders wichtig wird ein Entsorger vor allem dann, wenn er eine kritische Anlage betreibt, etwa ein Müllheizkraftwerk oder eine große Sortieranlage über den Schwellen der BSI-Kritisverordnung. Die Schwellen haben wir auf der Leistungsseite zusammengestellt. Dann kommen die Pflichten aus dem KRITIS-Dachgesetz hinzu.

Die Falle in Konzernen und Verbünden

Viele Betriebe in unserer Branche sind klein und gehören doch zu etwas Großem: die Niederlassung eines Konzerns, die Tochter eines Stadtwerks, die Gemeinschaftsfirma mehrerer Entsorger. Wer hier nur die eigenen 30 Beschäftigten zählt, rechnet womöglich falsch.

§ 28 Absatz 4 BSIG verweist für Beschäftigte, Umsatz und Bilanz auf die KMU-Empfehlung der EU-Kommission. Danach werden die Zahlen verbundener und Partnerunternehmen grundsätzlich mitgezählt. Das BSI-Gesetz macht davon eine Ausnahme: Die Zahlen werden nicht hinzugerechnet, wenn das Unternehmen „mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist“.

In der Praxis heißt das: Eine Tochter, die an der Domäne der Gruppe hängt, das gemeinsame ERP nutzt, ihre Touren über die Leitstelle der Mutter plant oder ihre Waage an deren Abrechnung meldet, ist kaum unabhängig. Sie wird in der Regel als wichtige Einrichtung gelten, auch mit wenigen Beschäftigten. Und weil nach Auskunft der IHK jede juristische Person einzeln registriert werden muss, reicht es nicht, dass die Mutter registriert ist.

Was die Anhörung bedeutet

Wer ein Schreiben des BSI bekommt, ist nicht in einem Bußgeldverfahren, noch nicht. Das Gesetz gibt dem BSI aber Werkzeuge an die Hand, die man kennen sollte.

Nach § 33 Absatz 4 BSIG muss eine Einrichtung, bei der Tatsachen die Annahme rechtfertigen, dass sie ihre Registrierungspflicht nicht erfüllt, dem BSI „auf Verlangen“ Unterlagen vorlegen und Auskunft erteilen. Nach Absatz 3 kann das BSI die Registrierung im Einvernehmen mit der zuständigen Aufsichtsbehörde auch selbst vornehmen. Und nach § 65 Absatz 2 Nr. 6 in Verbindung mit Absatz 5 handelt ordnungswidrig, wer die Angaben „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig“ übermittelt. Das Bußgeld kann bis zu 500.000 Euro betragen.

Höher wird es bei den eigentlichen Sicherheitspflichten. Wer die Maßnahmen nach § 30 BSIG nicht ergreift oder nicht dokumentiert oder einen erheblichen Vorfall nicht nach § 32 meldet, riskiert als wichtige Einrichtung bis zu 7 Millionen Euro. Die Anhörung wegen der Registrierung ist deshalb vor allem ein Weckruf: Wer nicht registriert ist, hat meistens auch die übrigen Pflichten noch nicht umgesetzt.

Was ab 2027 kommt und für wen

Die angekündigten Prüfungen ab 2027 treffen nicht jeden gleich. § 61 Absatz 1 BSIG erlaubt dem BSI, Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anzuordnen, aber nur gegenüber besonders wichtigen Einrichtungen. Laut Bericht will das BSI dort zuerst in den Sektoren ansetzen, in denen es den größten Bedarf sieht.

Für wichtige Einrichtungen, also die meisten Entsorger, gilt § 62: Das BSI darf prüfen, wenn „Tatsachen die Annahme“ rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden. Die Prüfung kommt also aus Anlass. Ein gemeldeter Sicherheitsvorfall kann ein solcher Anlass sein, eine Anhörung wegen fehlender Registrierung vermutlich auch. Wer dann eine dokumentierte Risikoanalyse und einen geübten Meldeweg vorzeigen kann, steht anders da als jemand, der erst anfängt.

Warum es in einem Entsorgungsbetrieb nicht nur um das Büro geht

§ 30 BSIG verlangt Maßnahmen für die IT-Systeme, Komponenten und Prozesse, die eine Einrichtung „für die Erbringung ihrer Dienste“ nutzt. In einem Entsorgungsbetrieb ist das mehr als Mail und Buchhaltung. Die Waage mit ihrer Anbindung an die Abrechnung, die Kameras an der Annahme, die Tourenplanung, die Telematik im Fahrzeug, die Steuerung der Sortieranlage und die Fernwartungszugänge der Anlagenbauer gehören dazu. Gerade die Fernwartung ist ein typischer Weg, über den Angreifer hineinkommen, und sie taucht in vielen IT-Konzepten gar nicht auf.

Dazu kommt die Meldepflicht. Nach § 32 BSIG geht ein erheblicher Vorfall binnen 24 Stunden als Erstmeldung an das BSI, binnen 72 Stunden folgt eine Bewertung, nach einem Monat der Abschlussbericht. Wenn am Samstagmorgen die Waage steht und niemand weiß, ob ein Angriff dahintersteckt, muss klar sein, wer entscheidet und wer meldet. Und nach § 38 BSIG ist das Sache der Geschäftsleitung: Sie muss die Maßnahmen umsetzen und überwachen, sich regelmäßig schulen lassen und haftet bei schuldhafter Verletzung nach den Regeln ihrer Rechtsform.

Was Sie diese Woche erledigen können

Erstens die Betroffenheit klären, ehrlich und mit Blick auf die Gruppe. Das BSI bietet dafür auf seiner Website eine Betroffenheitsprüfung an. Wer zu einem Verbund gehört, sollte die Frage nach der Unabhängigkeit der IT schriftlich beantworten und die Begründung aufheben.

Zweitens den Zugang beantragen. Die Registrierung läuft über Mein Unternehmenskonto mit ELSTER-Zertifikat. Nach dem Antrag kommt ein Aktivierungscode per Brief, und zwar an die ELSTER-Kontaktadresse des Unternehmens, nicht an den Ansprechpartner. Das ist oft die Buchhaltung oder ein Steuerbüro. Wer das vorher weiß, verliert keine Woche. Für die Registrierung selbst nennt § 33 BSIG Name und Rechtsform, Kontaktdaten einschließlich der öffentlichen IP-Adressbereiche, den Sektor, die EU-Staaten, in denen Sie tätig sind, und die zuständigen Aufsichtsbehörden.

Drittens registrieren und danach nicht stehen bleiben. Ändern sich die Angaben, etwa durch einen neuen Standort, eine Übernahme oder einen neuen IP-Bereich, müssen Sie das nach § 33 Absatz 5 binnen zwei Wochen nachtragen. Dann folgt die eigentliche Arbeit: eine Bestandsaufnahme nach den zehn Bereichen aus § 30, ein Meldeweg, den einmal jemand geübt hat, und eine Mappe, in der die Nachweise liegen.

Was offen bleibt

Wie das BSI die Fälle auswählt, die es zuerst anschreibt, und welche Frist es in der Anhörung setzt, hat es nicht veröffentlicht. Ob es bei nachgeholten Registrierungen auf ein Bußgeld verzichtet, ist ebenfalls offen. Eine öffentlich bekannte Bußgeldpraxis nach § 65 BSIG gibt es bisher nicht. Sicher ist nur, dass eine Registrierung, die jetzt erfolgt, besser aussieht als eine, die nach dem Brief des BSI kommt.

Wenn Sie klären wollen, ob und als was Ihr Betrieb unter NIS2 fällt, und dabei Waage, Kameras und Leitstelle mitdenken wollen: Die Betroffenheitsprüfung machen wir kostenlos im Erstgespräch. Mehr dazu auf NIS2 für Entsorger, Hintergrund zu den Betrieben selbst auf Kreislaufwirtschaft und kommunale Abfallwirtschaft. Oder sprechen Sie uns direkt an.

Quellen

Alle abgerufen am 21.10.2026.

• BSI-Gesetz (BSIG 2025): § 28, § 30, § 32, § 33, § 38, § 61, § 62, § 65, Anlage 2
• Kreislaufwirtschaftsgesetz: § 3 Absatz 14
• BSI: NIS-2 in Zahlen, Stichtag 30.09.2026
• ChannelPartner: BSI will bei NIS2 Ernst machen, 08.10.2026, nach einem Interview des Tagesspiegels mit Timo Hauschild
• IHK Bodensee-Oberschwaben: NIS-2: Registrierungspflicht beim BSI (Ablauf über Mein Unternehmenskonto, Aktivierungscode per Brief)

Stand: 21. Oktober 2026. Wenn das BSI das Verfahren der Anhörungen oder neue Zahlen veröffentlicht, ergänzen wir den Beitrag.