Auch wenn Hochschulen grundsätzlich nicht automatisch unter das BSIG fallen, können diese von den NIS-2-Pflichten betroffen sein, wenn sie eine „Forschungseinrichtung“ gemäß § 2 Nr. 12 BSIG aufweisen. Dies sind Einrichtungen, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen. Bildungseinrichtungen gelten danach nicht als Forschungseinrichtungen.
Die häufig öffentliche Trägerschaft von Hochschulen ist dabei kein maßgebliches Kriterium für die Einordnung nach dem BSIG, denn nicht die Hochschule als Institution ist entscheidend, sondern ausschließlich die konkret ausgeübten Tätigkeiten und deren wirtschaftlicher Bezug sowie Umfang.
Das bedeutet:
- Lehre, Grundlagenforschung, Wissenstransfer werden regelmäßig nicht erfasst
- Auftragsforschung, Drittmittelprojekte mit Verwertungsbezug, IT‑Dienstleistungen sind potenziell relevant.
Nur wenn solche wirtschaftlich geprägten Tätigkeiten in nicht lediglich untergeordnetem Umfang vorliegen und sofern die Voraussetzungen des § 28 BSIG, insbesondere sektorale Zuordnung und gesetzliche Größenkriterien, erfüllt werden, kann eine Hochschule als „wichtige Einrichtung“ oder „besonders wichtige“ Einrichtung eingestuft werden und von der Registrierungspflicht insgesamt als Rechtseinheit betroffen sein.
In diesem Fall gilt:
- Die Registrierung muss innerhalb von drei Monaten nach Eintritt der Betroffenheit erfolgen.
- Für Einrichtungen, die bereits bei Inkrafttreten des Gesetzes als betroffen einzustufen waren, endete die Frist mit dem 6. März 2026.
Der Registrierungsprozess läuft laut BSI in zwei Schritten ab:
1. Schritt: ELSTER‑Organisationszertifikat & „Mein Unternehmenskonto“ (MUK)
Bevor Einrichtungen sich im BSI‑Portal registrieren können, benötigen sie ein ELSTER‑Organisationszertifikat. Dieses dient als digitaler Identitätsnachweis und wird über Mein Unternehmenskonto (MUK) erzeugt.
2. Schritt: Registrierung im BSI‑Portal
Nach erfolgreicher ELSTER‑Anmeldung werden dort u. a. folgende Daten hinterlegt:
- Hochschulname und Anschrift
- Angaben zur NIS‑2‑Kontaktstelle und Kontaktperson
- Sektor und Art der Einrichtung
- Angaben zur Unternehmensgröße
- Öffentliche IP‑Adressbereiche [bsi.bund.de]
Änderungen müssen spätestens innerhalb von zwei Wochen im BSI‑Portal aktualisiert werden.
Doch die Registrierung ist nur ein erster formaler Schritt, der Kern der anstehenden Arbeiten wird die Entwicklung und Umsetzung der erforderlichen Maßnahmen zur Erfüllung der inhaltlichen Anforderungen des NIS-2 sein.
Empfehlung: Hochschulen sollten eine strukturierte, dokumentierte Betroffenheitsanalyse durchführen, die insbesondere die ausgeübten Tätigkeiten berücksichtigt, denn durch eine belastbare Tätigkeitssegmentierung kann argumentiert werden, dass wirtschaftliche Tätigkeiten lediglich untergeordnet sind und daher keine Registrierungspflicht für die Hochschule insgesamt besteht.