NIS2 erfüllen — ohne ISMS-Projekt.

Nein. Die Registrierung nach § 33 BSIG ist Ihre Handlung — sie läuft über das Portal des Bundesamts und verlangt ein ELSTER-Organisationszertifikat, das über „Mein Unternehmenskonto“ beantragt wird. Wir führen Sie Schritt für Schritt hin: welche Angaben Sie brauchen, in welcher Reihenfolge, und was danach zu tun ist. Absenden müssen Sie selbst.

Ja. Die Registrierungspflicht ist nicht dadurch erledigt, dass die Frist verstrichen ist; sie besteht weiter. § 33 Abs. 3 BSIG erlaubt es dem Bundesamt sogar, die Registrierung im Einvernehmen mit der zuständigen Aufsichtsbehörde selbst vorzunehmen, wenn die Pflicht nicht erfüllt wird. Eine versäumte Registrierung ist nach § 65 Abs. 2 Nr. 6 mit bis zu 500.000 € bewehrt. Nachholen ist der richtige Schritt.

Für einen bestimmten Katalog von Verstößen — darunter fehlende Maßnahmen nach § 30 und versäumte Meldungen nach § 32 — sieht § 65 Abs. 5 BSIG Geldbußen bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen vor. Erst ab einem Gesamtumsatz von mehr als 500 Mio. € treten nach den Absätzen 6 und 7 die Sätze von 2 beziehungsweise 1,4 Prozent an die Stelle dieser Beträge. Eine fehlende Registrierung ist mit bis zu 500.000 € bewehrt.

Nein. Diese Zahl kursiert, ist aber falsch: § 38 steht nicht im Bußgeldkatalog des § 65 BSIG. Eine versäumte Schulung der Geschäftsleitung ist keine Ordnungswidrigkeit. Sie wirkt an anderer Stelle — über die Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung nach § 38 Abs. 2 und darüber, dass ohne Schulungsdokumentation die Pflichterfüllung schwerer zu belegen ist.

Nein — eine Anerkennung von Schulungsanbietern durch das BSI sieht das Gesetz nicht vor, und eine bestimmte Prüfung schreibt es auch nicht vor. Wir stellen eine Teilnahmebescheinigung aus. Sie belegt die Teilnahme, nicht die Vermittlung ausreichender Kenntnisse und Fertigkeiten; das sagt das BSI in seiner Handreichung selbst über jede Schulungsdokumentation.

Allein nicht. Das BSI erwartet in seiner Handreichung „Schulung für Geschäftsleitungen“ (Version 1.0 vom 17.04.2026) einen einrichtungsindividuellen Bezug: kritische Geschäftsprozesse, Governance-Struktur und aktuelle Risikolage Ihrer Einrichtung. Externe Anbieter sollen ihre allgemeinen Inhalte um solche Angaben ergänzen lassen. Genau dafür hat das Nachweis-Paket ein eigenes Feld, in dem Sie diesen Teil festhalten.

Das Gesetz nennt weder ein Intervall noch eine Dauer — § 38 Abs. 3 BSIG verlangt „regelmäßig“. Das BSI empfiehlt eine ausführliche Erstschulung und daran anschließende Folgeschulungen, ausgerichtet an Risikolage und Änderungsanlässen. Ein jährlicher Rhythmus hat sich als Praxis etabliert und ist leicht zu belegen. Wir erinnern Sie, bevor Ihr Zugang nach zwölf Monaten ausläuft.

Nein. In Hugo ISMS (alle Stufen), in der Compliance Suite und in den DSB-Tarifen Pro und Premium ist der NIS2-Umfang bereits enthalten. Hugo NIS2 Basis ist der kleine Weg für alle, die genau diesen Teil brauchen — und kein ISMS-Projekt aufsetzen wollen.