En frist, der aldrig rigtig var en frist
Tysklands NIS2-implementeringslov, BSI-loven (BSIG), trådte i kraft den 6. december 2025 og forpligtede omkring 29.500 virksomheder og offentlige organer inden for energi, sundhed, transport og digital infrastruktur til at registrere sig hos Forbundskontoret for Informationssikkerhed senest den 6. marts 2026. BSI's portal åbnede i januar 2026, men ved den lovbestemte frist havde kun en brøkdel registreret sig. Over for en efterlevelsesgrad, som myndighedens egne folk kaldte for lav til at håndhæve, meddelte BSI, at man ville acceptere sene registreringer og undlade sanktioner frem til 31. juli 2026 - et tolerancevindue, ikke en ny lovdato.
BSI's egen tælleside, 'NIS-2 in Zahlen', angav 17.729 registrerede enheder pr. 30. juni 2026, fordelt på 11.501 'vigtige' og 6.215 'særligt vigtige' organisationer, heraf 1.342 udpegede kritiske infrastrukturoperatorer (KRITIS). Uafhaengige juridiske og brancheberetninger, der henviser til BSI's egne tal fra slutningen af juli, angiver omkring 18.500 til 19.000 registreringer, efter tolerancevinduet lukkede - hvilket efterlader mellem 10.500 og 11.800 forventede enheder, næsten en tredjedel af det samlede antal, stadig uden for systemet, da tolerancen udløb.
Forsyningsselskabernes paradoks
VKU, foreningen der repræsenterer Tysklands kommunale forsyningsselskaber (Stadtwerke), oplyste til branchepressen, at registreringshullet i deres sektor ikke er en historie om virksomheder, der ignorerer loven. Deres udtalte holdning: 'den komplekse tilhørsforholdsanalyse, især for flersektorvirksomheder, er efter vores opfattelse hovedårsagen til, at registreringerne har været så begrænsede', med tilføjelsen om, at klassifikationsvurderingen 'er så kompliceret, at den næsten er umulig uden ekstern juridisk bistand'. Mange Stadtwerke opererer samtidig inden for energi, vand, spildevand og til tider telekommunikation, og NIS2's sektorvise tilhørsforholdstest tvinger hver af disse forretningsgrene igennem sin egen kvalifikationsanalyse, for en eneste registrering overhovedet kan indgives.
Den detalje vejer tungere end en simpel efterlevelsesprocent. De enheder, som NIS2 først og fremmest skulle beskytte - netoperatorer, vandselskaber, fjernvarmenet - er strukturelt dem, der oftest snubler over lovens egen adgangslogik, netop fordi de per definition er flersektorielle. Et hul koncentreret blandt små generalistvirksomheder ville være et uddannelsesproblem; et hul koncentreret blandt kommunale operatorer af kritisk infrastruktur er en designfejl i selve lovens adgangsport.
Den tre måneders blinde vinkel
Her er det, dækningen af fristen overså. BSI's egen tælleside oplyser, at den næste opdatering 'formentlig ikke sker for 31. oktober 2026' - hvilket betyder, at myndighedens offentlige registreringstal vil stå uændret i netop det kvartal, hvor sanktionstolerancen ophørte. Enhver tysk 'vigtig' eller 'særligt vigtig' enhed bærer nu lovmæssige forsyningskædeforpligtelser over for sine egne leverandører, og enhver EU- eller UK-modpart, der udfører NIS2-relateret due diligence på en tysk leverandør, har ingen opdateret kilde at tjekke mod - kun et øjebliksbillede, der allerede var seks uger gammelt, da tolerancen udløb, og som vil være næsten fire måneder gammelt, når det opdateres.
Da selve registreringen ikke ændrer noget ved en organisations faktiske sikkerhedsniveau - det er en bureaukratisk port, ikke en teknisk kontrol - har virksomheder med mest at tabe ved offentligt at blive udpeget som efternølere al mulig grund til nu stille at registrere sig i stedet for at offentliggøre hullet. Forvent derfor, at Tysklands offentlige tal ser markant bedre ud omkring Halloween, selv om de mellemliggende måneder rummer en utalt mængde eksponerede enheder. Det praktiske råd til enhver virksomhed, der er afhængig af en tysk leverandør af kritisk infrastruktur eller digitale tjenester: bed nu, skriftligt, om bekræftelse af BSIG-registrering - ikke i november, når BSI's eget tal allerede igen er forældet.
Læs videre: En 18 år gammel Cisco-fejl har nu 3 dages frist | NIS2 gør tysk ledelse personligt ansvarlig for cybersikkerhed
