Unternehmen, die gemäß dem Gesetz als systemrelevant oder wichtig eingestuft werden, müssen bis zum 3. Oktober 2026 einen Antrag auf Aufnahme in das nationale Cybersicherheitssystem stellen, sofern sie die Kriterien am 3. April 2026 erfüllten und nicht bereits offiziell im Register eingetragen waren. Die Frist, die im nächsten Monat abläuft, ist eine Folge des Inkrafttretens der Änderung des Gesetzes zum nationalen Cybersicherheitssystem, die auf einem Selbstqualifizierungsmodell basiert. Die Aufsichtsbehörde ist nicht verpflichtet, individuelle Benachrichtigungen zu versenden. Die Verantwortung für die Überprüfung und die fristgerechte Einreichung liegt vollständig bei den Unternehmen.
Registrierungspflichtige Unternehmen
Die Antragspflicht gilt für Organisationen, die zum 3. April 2026 die Kriterien für die Anerkennung als Schlüssel- oder wichtiges Unternehmen erfüllten und noch nicht aufgrund einer Einzelentscheidung der Aufsichtsbehörde in das Register eingetragen wurden. Die Regelungen betreffen grundsätzlich mittlere und große Unternehmen aus bestimmten Branchen; die Statusbeurteilung erfordert jedoch auch die Berücksichtigung von Kapital- und Personenverflechtungen innerhalb von Unternehmensgruppen.
Das Versäumnis, offizielle Schreiben oder Mahnungen der zuständigen Ministerien zuzustellen, entbindet die Organisation nicht von ihrer Haftung, und Untätigkeit kann das Unternehmen schwerwiegenden Konsequenzen aussetzen.
Verfahren und formale Anforderungen für die Einreichung eines Berichts
Die Registrierung erfolgt ausschließlich elektronisch über ein spezielles IT-Portal. Damit der Antrag ohne Anforderung zusätzlicher Unterlagen bearbeitet werden kann, muss die Organisation Folgendes bereitstellen:
- Ordnungsgemäße Vertretung: Der Antrag muss mit einer qualifizierten elektronischen Signatur oder einer vertrauenswürdigen Signatur gemäß den im Nationalen Gerichtsregister (KRS) oder im Zentralen Unternehmensregister (CEIDG) veröffentlichten Vertretungsregeln unterzeichnet werden. Bei Bevollmächtigung ist eine elektronische Vollmacht sowie der Zahlungsnachweis der Stempelgebühr beizufügen.
- Kontaktstellen: Das Formular erfordert die Angabe konkreter Kontaktdaten (Telefon, E-Mail) für die Einheiten, die für die Kommunikation mit dem zuständigen CSIRT-Team verantwortlich sind.
- Genaue Beschreibung der Dienstleistungen: Angabe des jeweiligen Sektors, Teilsektors und der Art der erbrachten Dienstleistungen sowie grundlegende Daten zur verwendeten digitalen Infrastruktur.
Sanktionen bei Nichteinhaltung der Frist
Wird der Antrag nicht bis zum 3. Oktober 2026 eingereicht, besteht die Gefahr, dass ein Verfahren zur Verhängung einer Geldbuße wegen Nichterfüllung der gesetzlichen Pflicht eingeleitet wird. Ungeachtet der finanziellen Sanktionen wird die Aufsichtsbehörde das Unternehmen nach dessen Feststellung automatisch in das Register eintragen. Die Nichteinhaltung der Frist kann zudem als Verstoß gegen die Sorgfaltspflicht der Geschäftsführung gewertet werden.
Wie Sie sich auf Ihren bevorstehenden Termin vorbereiten können
Unternehmen, die das Registrierungsverfahren noch nicht abgeschlossen haben, sollten umgehend ihren Status überprüfen und ihren Antrag einreichen:
- Die Selbsteinschätzung dokumentieren: Ein internes Protokoll erstellen, das die Beschäftigungs- und Umsatzzahlen zum 3. April 2026 bestätigt und eine Analyse der Verbindungen innerhalb der Gruppe enthält.
- Überprüfen Sie das öffentliche Register: Stellen Sie sicher, dass das Unternehmen nicht bereits im Rahmen einer offiziellen Eintragung im Register aufgeführt ist.
- Bereiten Sie das elektronische Formular vor: Vervollständigen Sie die technischen Daten, überprüfen Sie die Gültigkeit der elektronischen Signaturen der Vertreter und reichen Sie den Antrag rechtzeitig ein, um eine mögliche Überlastung der IT-Systeme zu vermeiden.
Zusammenfassend lässt sich sagen, dass mit dem bevorstehenden Stichtag am 3. Oktober 2026 eine wichtige Phase der Umsetzung der KSC-Reform abgeschlossen wird. Angesichts der formalen Anforderungen an die Vertretung und der Notwendigkeit, die erbrachten Dienstleistungen präzise zu erfassen, empfiehlt es sich, die Situation der Organisation umgehend zu analysieren und vor Ablauf der gesetzlichen Frist einen Bericht einzureichen. Zudem ist es wichtig, verantwortliche Ansprechpartner zu benennen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 3. September 2026.
