Ratgeber

BSI-Portal: Warum sich die Registrierung auch unabhängig von NIS-2 lohnt

Hände von Mann mit Handy mit Sicherheitsmodul vor Bildschirm

Viele Unternehmen befassen sich derzeit erstmals mit dem BSI-Portal, da es künftig eine zentrale Rolle bei NIS-2 spielen wird. Unabhängig von einer möglichen NIS-2-Betroffenheit bietet eine Registrierung Zugang zu Lageinformationen, Meldewegen und weiteren Unterstützungsangeboten des BSI. Da mit dem Zugang zugleich eine digitale Unternehmensidentität auf Basis eines ELSTER-Organisationszertifikats vergeben wird, sollten Beantragung, Ausgabe und Nutzung solcher Zertifikate klar geregelt sein.

Inhalt

BSI-Portal: Mehr als NIS-2 Wichtiger Hinweis zur Nutzung von ELSTER-Organisationszertifikaten Drei Schritte für den Einstieg in das BSI-Portal Orientierung im BSI-Portal Checkliste – Organisatorische Festlegungen zu zentraler Stelle, Nutzung und Nutzer FAQs

BSI-Portal: Mehr als NIS-2

Das BSI-Portal ist die zentrale digitale Plattform des Bundesamts für Sicherheit in der Informationstechnik für Unternehmen und Organisationen. Es dient als Zugangspunkt für verschiedene Online‑Dienste rund um Cybersicherheit, insbesondere:

Registrierung und Kommunikation im Rahmen von NIS‑2
Meldung von IT‑Sicherheitsvorfällen
Abruf von Warnmeldungen und Lageinformationen
Nutzung von Angeboten wie der Allianz für Cybersicherheit

Die Anmeldung erfolgt über das „Mein Unternehmenskonto“ (MUK) mit ELSTER, wodurch eine sichere und rechtssichere Identifizierung gewährleistet wird.

Kurz gesagt: Das BSI‑Portal ist die zentrale Schnittstelle zwischen Unternehmen und staatlicher Cybersicherheitsbehörde in Deutschland.

Bevor Sie sich einen Zugang für „Mein Unternehmenskonto“ besorgen, sollten Sie zurvor ein paar organisatorische Fragen für die Nutzung von ELSTER-Organisationszertifikaten klären.

zurück zur Übersicht

Wichtiger Hinweis zur Nutzung von ELSTER-Organisationszertifikaten

Wer einem Mitarbeiter lediglich einen Zugang zum BSI-Portal bereitstellen möchte, schafft aktuell gleichzeitig einen Zugang zu Funktionen im ELSTER-Umfeld. Deshalb sollten Zuständigkeiten, Berechtigungen und der Umgang mit Zertifikaten vorab geregelt werden.

Personen mit Zugang zum BSI-Portal können mit ihrem ELSTER-Organisationszertifikat grundsätzlich auch Funktionen im ELSTER-Portal nutzen. Hierzu können je nach Berechtigung auch steuerliche Übermittlungen gehören.

Nach aktuellem Stand ist eine detailliertere technische Rechtevergabe für ELSTER-Organisationszertifikate voraussichtlich erst Ende 2027 zu erwarten.

Daher ist es sehr empfehlenswert, organisatorische Regelungen für die Nutzer von ELSTER‑Organisationszertifikaten festzulegen.

Hintergrund: Mit dem ELSTER‑Organisationszertifikat kann man sich sowohl beim BSI‑Portal als auch bei elster.de anmelden. Dabei ist zu beachten, dass das zugehörige Benutzerkonto im Kontext des BSI‑Portals eigentlich für die Nutzung der BSI‑Dienste gedacht ist und nicht primär für steuerliche Zwecke in ELSTER konzipiert wurde.

Die Herausforderung besteht darin, dass man zwar nur das BSI‑Portal nutzen möchte, durch die Verwendung desselben Zertifikats jedoch automatisch ein Benutzerkonto mit einigen ELSTER‑Berechtigungen erhält. Dadurch werden IT‑Zugänge und steuerliche Berechtigungen miteinander verknüpft.

Im Elster‑Portal kann man unter „Mein Benutzerkonto“ und dort unter „Berechtigungen anzeigen“ prüfen, welche Rechte dem Benutzerkonto zugeordnet sind. Bei Nutzung desselben Zertifikats können dort auch steuerliche ELSTER‑Berechtigungen sichtbar werden, etwa:

Abgabe der Einkommensteuererklärung
Abgabe der Einnahmenüberschussrechnung
Abgabe der Gewerbesteuererklärung
Abgabe der Lohnsteuer‑Anmeldung
Abgabe der Umsatzsteuererklärung
etc.

Der Abruf von Steuerdaten zur Steuernummer ist nicht möglich.

zurück zur Übersicht

Drei Schritte für den Einstieg in das BSI-Portal

Der Einstieg in das BSI-Portal erfordert einige organisatorische und technische Vorbereitungen. Erfahren Sie, wie Sie die notwendigen Regelungen festlegen, „Mein Unternehmenskonto“ (MUK) und das ELSTER-Organisationszertifikat einrichten sowie Berechtigungen für die Portalnutzung verwalten.

Schritt 1: Organisatorische Regelungen treffen

Im Unternehmen sollte eine Person festgelegt werden, welche die organisatorische Verwaltung von ELSTER und seinen Zertifikaten als Administrator managt. Diese Person wird in diesem Zusammenhang als „Zentrale Stelle“ bezeichnet.

Organisatorische Regelungen sollten festlegen, wer wie im Unternehmen ELSTER-Organisationszertifikate nutzen darf. Folgende Fragen sind dabei zu klären:

Festlegung der „Zentralen Stelle“ und deren Aufgaben
Ausgabe, Nutzung und Aufbewahrung von ELSTER-Organisationszertifikaten
Technische Zertifikate (Softwareeinbindung)
Protokollierung und Kontrollen

Checkliste Organisatorische Festlegungen zu zentraler Stelle, Nutzung und Nutzer

Schritt 2: „Mein Unternehmenskonto“ (MUK) und ELSTER-Organisationszertifikat einrichten

Für den Zugang zum BSI-Portal ist ein Konto bei "Mein Unternehmenskonto (MUK)" nötig. ELSTER-Zertifikate dienen dabei der Authentifizierung.

MUK ist unabhängig von BSI und NIS-2 der zentrale Login für Unternehmen gegenüber dem Staat. Es spielt bereits bei Verwaltungsportalen von Bund und Ländern sowie bei OZG‑Leistungen (Onlinezugangsgesetz) eine zunehmend wichtige Rolle. Daher haben viele Unternehmen bereits ein MUK-Konto.

Falls Ihr Unternehmen noch kein MUK-Konto hat, empfehlen wir, sich ein solches zu organisieren. Dies erfolgt durch die Registrierung für ein ELSTER-Organisationszertifikat.

Das ELSTER-Organisationszertifikat (nicht-persönliches Zertifikat) ist für Unternehmen, Vereine und Behörden vorgesehen. Es dient der Authentifizierung bei Online-Diensten, inbesondere im Portal Mein ELSTER und Mein Unternehmenskonto. Das Zertifikat besteht aus einer Zertifikatsdatei und einem selbst gewählten Passwort, die gemeinsam für den Login verwendet werden.

Persönliches Zertifikat und Organisationszertifikat im Vergleich:

Ein persönliches ELSTER-Zertifikat ist einer natürlichen Person (z. B. einer Mitarbeiterin oder einem Mitarbeiter) zugeordnet und wird beispielsweise für private Steuerangelegenheiten genutzt.

Ein Organisationszertifikat hingegen wird für eine Organisation (z. B. Unternehmen, Verein oder Behörde) ausgestellt und ist mit deren Steuernummer verknüpft. Es ermöglicht die Nutzung von Diensten im Namen der Organisation.

Wichtig ist dabei die Unterscheidung zwischen Zuordnung und Nutzung:

Das Organisationszertifikat ist der jeweiligen Organisation zugeordnet.
Für die tatsächliche Nutzung sollte jedoch jede Mitarbeiterin bzw. jeder Mitarbeiter ein eigenes Organisationszertifikat erhalten.
Dadurch bleibt jederzeit nachvollziehbar, welche Person auf das Unternehmenskonto zugegriffen oder bestimmte Vorgänge durchgeführt hat.

Mehrfachnutzung möglich: Ein Unternehmen kann bis zu 5.000 Organisationszertifikate beantragen. Jedem Organisationszertifikat ist ein eigenes Benutzerkonto einschließlich eines eigenen Postfachs zugeordnet.

Wichtig: Jedes ELSTER-Organisationszertifikat sollte ausschließlich einer einzelnen Person zur Nutzung zugewiesen werden. Die gemeinsame Verwendung eines Zertifikats durch mehrere Personen sollte ausgeschlossen werden, um eine eindeutige Zuordnung von Aktivitäten und Verantwortlichkeiten sicherzustellen.

Die Person, die für eine Steuernummer das erste ELSTER-Organisationszertifikat aktiviert, wird automatisch als Administrator für die weiteren Organisationszertifikate dieser Organisation eingerichtet.

Der Administrator kann zusätzliche Organisationszertifikate für weitere Mitarbeitende anlegen und verwalten sowie die von ELSTER beziehungsweise Mein Unternehmenskonto vorgesehenen Berechtigungen steuern.

Ablauf der MUK-Registrierung

Nach Auswahl von Bundesland, Eingabe der Steuernummer und Angabe von persönlichen Kontaktdaten werden diese Daten an das zuständige Finanzamt übermittelt. Dieses verfasst einen Brief, der an die beim Finanzamt hinterlegte Postadresse des Unternehmens verschickt wird. Bei größeren Unternehmen kann dies z. B. die Buchhaltung oder das Personalmanagement sein.

Finden Sie im Unternehmen heraus, wer mit dem für die Steuernummer zuständigen Finanzamt Kontakt hat und weisen Sie darauf hin, dass gegebenenfalls ein Brief bzgl. MUK-Benutzerkonto eintreffen könnte.

Wichtig ist es, den Aktivierungscode bis spätestens zum im Brief angegebenen Termin zu nutzen.

Weitere Informationen finden Sie hier.

Schritt 3: Berechtigungen in "Mein Unternehmenskonto" steuern

Die Berechtigungssteuerung in „Mein Unternehmenskonto“ ermöglicht es Organisationen, den Zugriff auf zentrale Verwaltungsdienste gezielt zu kontrollieren.

Unternehmen können verschiedene Rollen definieren und einzelnen Mitarbeitenden spezifische Rechte zuweisen, etwa für die Verwaltung von Stammdaten, die Kommunikation mit Behörden oder die Nutzung bestimmter Online‑Services.

Speziell für das BSI-Portal wurde die MUK-Berechtigungssteuerung zum 15.07.2026 aktiv. D. h. im MUK-Portal muss für Nutzer das BSI-Portal gezielt freigegeben werden.

Dadurch wird sichergestellt, dass nur autorisierte Personen sensible Daten einsehen oder Änderungen vornehmen können.

Eine klare und gut gepflegte Berechtigungsstruktur trägt wesentlich zur Sicherheit, Nachvollziehbarkeit und effizienten Nutzung des Kontos bei.

zurück zur Übersicht

Orientierung im BSI-Portal

In der Navigationsleiste des BSI-Portals sind folgende Einträge zu finden:

Checkliste – Organisatorische Festlegungen zu zentraler Stelle, Nutzung und Nutzer

Festlegung einer zentralen Stelle und deren Aufgaben:

Bei der zentralen Stelle müssen alle Prozesse bezüglich der ELSTER-Organisationszertifikate im Unternehmen zusammenlaufen. Sie kann organisatorisch z. B. im Bereich Buchhaltung, Steuern, Personal o.ä. verortet sein, wo bereits entsprechende Erfahrungen vorhanden sind. Typische Aufgaben der "Zentralen Stelle" sind:

Festlegung der für „Mein Unternehmenskonto“ (MUK) verantwortlichen Administratorin bzw. des verantwortlichen Administrators einschließlich dokumentierter Vertretungsregelung.
Festlegung der Einsatzszenarien (Steuer, BSI-Portal...)
Erhebung bereits vorhandener ELSTER-Organisationszertifikate im Unternehmen.
Entgegennahme und Bearbeitung von Anträgen auf Ausstellung von ELSTER-Organisationszertifikaten, Festlegung der zulässigen Einsatzszenarien sowie Ausgabe der Zertifikate.
Führung eines Verzeichnisses aller ELSTER-Organisationszertifikate einschließlich Zertifikatsinhaber, verantwortlicher Organisationseinheit, Einsatzzweck (z. B. in „BSI-Portal"), Ausstellungsdatum und Ablaufdatum.
Überwachung der Ablaufdaten, Durchführung der regelmäßigen, mindestens jährlichen Überprüfung der Notwendigkeit, Aktualität und ordnungsgemäßen Zuordnung der ausgegebenen Zertifikate.
Vor Ausscheiden eines Mitarbeitenden sind zugeordnete Zertifikate und Berechtigungen zu prüfen und erforderlichenfalls zu sperren bzw. zu entziehen.
Entgegennahme von Meldungen, z. B. bei Verlust, Kompromittierungsverdacht, Fehlnutzung, Abwesenheiten.

Die zentrale Stelle sollte so besetzt werden, dass ihre Aufgaben auch bei Abwesenheiten über Vertretungsregelungen wahrgenommen werden können.

Soweit Mitglieder der zentralen Stelle selbst Zertifikate nutzen, erfolgt die sie betreffende regelmäßige Prüfung auf Notwendigkeit und Aktualität durch eine nicht selbst betroffene Person im Vier-Augen-Prinzip.

Ausgabe von ELSTER-Organisationszertifikaten

Die Beantragung erfolgt über die zentrale Stelle. Dabei sind folgende Vorgaben zu beachten:

Ausgabe eines individuellen ELSTER-Organisationszertifikats je berechtigter Person.
Keine gemeinsame Nutzung von Zertifikaten durch mehrere Personen (keine Sammel- bzw. Gemeinschaftsnutzung eines Zertifikats).
Zertifikatsdatei und zugehörige Zugangsdaten dürfen ausschließlich der berechtigten Person zugänglich sein.
Ausgabe erst nach Unterweisung der empfangenden Person hinsichtlich der sicheren Aufbewahrung, der zulässigen Nutzung, der konkreten Einsatzszenarien sowie der Meldewege bei Verlust oder Verdacht auf Kompromittierung.
Die Vergabe, Änderung und Entziehung von Berechtigungen ist nachvollziehbar zu dokumentieren.

Nutzung von ELSTER-Organisationszertifikaten

Die Nutzung ist nur für den zugewiesenen Zweck in einem Einsatzszenario [FN1] gestattet. Untersagt ist insbesondere die private Nutzung. Tätigkeiten in Mein ELSTER außerhalb der ausdrücklich übertragenen Aufgaben sind unzulässig.

Insbesondere dürfen steuerliche Übermittlungen nur durch hierfür schriftlich benannte Personen vorgenommen werden.

Aufbewahrung von ELSTER-Organisationszertifikaten

Zertifikatsdatei und Passwort werden in den bereitgestellten Systemen (z. B. Passwortmanager) verwahrt und nicht weitergegeben – auch nicht zur Vertretung.
Für Vertretungsfälle sind gesonderte Zertifikate oder andere organisatorische Verfahren vorzusehen; eine Weitergabe von Zertifikaten oder Passwörtern ist unzulässig.
Das Passwort darf nicht gemeinsam mit der Zertifikatsdatei gespeichert werden.
Wir empfehlen für die Verwaltung von Zugangsdaten und Passwörten die Nutzung eines Passwortmanagers.

Verlust- und Kompromittierungsmanagement

Bei Verdacht auf Verlust, versehentliche Fehlnutzung, unbefugte Kenntnisnahme oder Missbrauch eines ELSTER-Organisationszertifikats sind die zentrale Stelle sowie gegebenenfalls der Informationssicherheitsbeauftragte unverzüglich zu informieren. Das betroffene Zertifikat ist unverzüglich zu sperren bzw. zu ersetzen.

„Systemzertifikate“ – technische Zertifikate (Softwareeinbindung)

Systemzertifikate sind ELSTER-Organisationszertifikate, die technisch in Fachverfahren, Anwendungen oder automatisierte Prozesse eingebunden werden.

Für diese sind besondere Regelungen nötig:

Jedes Systemzertifikat sollte im Verzeichnis aller ausgegebenen ELSTER-Organisationszertifikate der zentralen Stelle mit Einsatzsystem, Einsatzszenario und einer fachlich verantwortlichen Person geführt werden [FN2] [BK3].
Die Zertifikatsdatei und das Passwort werden ausschließlich im geschützten Konfigurationsspeicher der Software hinterlegt; ein Zugriff außerhalb der Administration ist technisch zu unterbinden.
Die fachlich verantwortliche Person überwacht zusammen mit der zentralen Stelle die Gültigkeit und zweckgemäße Nutzung des Systemzertifikats im Rahmen der Überprüfung auf Notwendigkeit und Aktualität.

Protokollierung und Kontrollen

Bei der Beantragung und Nutzung von Personen zugeordneten ELSTER-Organisationszertifikaten des MUK- und BSI-Portals fallen Protokoll- und Zuordnungsdaten an. Es ist dadurch nachvollziehbar, welcher Mitarbeitende welche Aktivitäten auf den Portalen durchführt. Die zentrale Stelle prüft anlassbezogen sowie im Rahmen der regelmäßigen Überprüfung, ob Zertifikate entsprechend dem festgelegten Einsatzzweck verwendet werden.

Dies tangiert gegebenenfalls unternehmensinterne Fragestellungen bezüglich Datenschutz und Betriebsratsbeteiligungen.

zurück zur Übersicht

FAQs

Eine Registrierung im BSI-Portal kann für Unternehmen aufgrund gesetzlicher Anforderungen, insbesondere im Zusammenhang mit NIS-2 , erforderlich werden. Unabhängig von einer Registrierungspflicht können sich Unternehmen jedoch freiwillig registrieren und die angebotenen Dienste nutzen.

Auch ohne gesetzliche Verpflichtung bietet das BSI-Portal Zugang zu Lageinformationen, Warnmeldungen, Unterstützungsangeboten des BSI sowie Funktionen zur Meldung von IT-Sicherheitsvorfällen. Unternehmen können dadurch ihre Informationslage zur Cybersicherheit verbessern und frühzeitig von aktuellen Erkenntnissen profitieren.

Die technische Registrierung ist unkompliziert. Die größere Herausforderung besteht häufig darin, den Umgang mit ELSTER-Organisationszertifikaten organisatorisch zu regeln. Da ein ELSTER-Organisationszertifikat nicht nur für das BSI-Portal, sondern auch für Funktionen im ELSTER-Umfeld genutzt werden kann, sollten Zuständigkeiten, Berechtigungen und Prozesse vorab festgelegt werden.

Personen mit Zugang zum BSI-Portal können mit ihrem ELSTER-Organisationszertifikat grundsätzlich auch Funktionen im ELSTER-Portal nutzen. Abhängig von den Berechtigungen können hierzu auch steuerliche Übermittlungen gehören. Da derzeit keine differenzierte Rechtevergabe auf Ebene des ELSTER-Organisationszertifikats zur Verfügung steht, sollten Zuständigkeiten und Nutzungsregeln organisatorisch festgelegt werden.

Auf dieser Seite stellen wir eine Checkliste bereit, an der man sich orientieren kann.

Darin enthalten: Vor der Registrierung sollten insbesondere die Festlegung einer zentralen verantwortlichen Stelle, Regelungen zur Ausgabe und Nutzung von ELSTER-Organisationszertifikaten, Vorgaben für technische Zertifikate sowie Verfahren zur Protokollierung und Kontrolle definiert werden. Die in diesem Beitrag enthaltene Checkliste kann hierfür als Orientierung dienen.

Ja, für die Nutzung von Mein Unternehmenskonto und des BSI-Portals wird ein ELSTER-Organisationszertifikat benötigt. Unternehmen können mehrere Organisationszertifikate beantragen und unterschiedlichen Mitarbeitenden zuordnen.

Nein, aus Gründen der Nachvollziehbarkeit und Informationssicherheit sollte jeder berechtigte Mitarbeitende ein eigenes ELSTER-Organisationszertifikat erhalten. Die gemeinsame Nutzung eines Zertifikats erschwert die eindeutige Zuordnung von Aktivitäten und erhöht das Missbrauchsrisiko.

Empfehlenswert ist die Benennung einer zentralen verantwortlichen Stelle, beispielsweise in den Bereichen Finanzen, Steuern, Personal oder Compliance. Diese Stelle sollte die Ausgabe, Dokumentation, Überprüfung und gegebenenfalls Sperrung von Zertifikaten koordinieren.

Bei Verlust, Verdacht auf unbefugte Nutzung oder Kompromittierung sollte die zuständige Stelle im Unternehmen unverzüglich informiert werden. Das betroffene Zertifikat sollte zeitnah gesperrt und gegebenenfalls ersetzt werden.

Nein. Auch Unternehmen, die nicht unter NIS-2 fallen, können von den bereitgestellten Informationen, Warnhinweisen, Meldewegen und Angeboten des BSI profitieren. Das Portal entwickelt sich zunehmend zu einem zentralen Zugangspunkt für die Kommunikation zwischen Unternehmen und dem BSI.