Un plazo que nunca fue realmente un plazo

La ley alemana de transposición del NIS2, la Ley del BSI (BSIG), entró en vigor el 6 de diciembre de 2025 y obligaba a unas 29.500 empresas y organismos públicos de los sectores de energía, salud, transporte e infraestructura digital a registrarse ante la Oficina Federal de Seguridad de la Información antes del 6 de marzo de 2026. El registro se abrió a través del propio portal de la BSI en enero de 2026, pero al llegar el plazo legal solo una fracción se había inscrito. Ante una tasa de cumplimiento que sus propios responsables calificaron de demasiado baja para exigirla, la BSI anunció que aceptaría registros tardíos y se abstendría de sanciones hasta el 31 de julio de 2026 - una ventana de tolerancia, no una nueva fecha legal.

La propia página de seguimiento de la BSI, 'NIS-2 in Zahlen', situaba el recuento en 17.729 entidades registradas a 30 de junio de 2026, divididas en 11.501 entidades 'importantes' y 6.215 'especialmente importantes', entre ellas 1.342 operadores designados de infraestructuras críticas (KRITIS). Informes jurídicos y sectoriales independientes que citan las propias cifras de la BSI de finales de julio sitúan los registros entre 18.500 y 19.000 una vez cerrada la ventana de tolerancia - lo que deja entre 10.500 y 11.800 entidades previstas, cerca de un tercio del total, todavía fuera del sistema cuando expiró la tolerancia.

La paradoja de las empresas de servicios públicos

La VKU, la asociación que representa a las empresas municipales de servicios públicos de Alemania (Stadtwerke), declaró a la prensa sectorial que la brecha de registro en su sector no es una historia de empresas que ignoran la ley. Su postura, tal cual: 'el complejo análisis de afiliación, especialmente para las empresas multisectoriales, es en nuestra opinión la razón principal de que los registros hayan sido tan escasos', y añade que la revisión de clasificación 'es tan complicada que resulta casi imposible sin asistencia jurídica profesional externa'. Muchas Stadtwerke operan a la vez en energía, agua, aguas residuales y, en ocasiones, telecomunicaciones, y la prueba de afiliación sector por sector del NIS2 obliga a cada una de esas líneas de negocio a superar su propio análisis de cualificación antes de poder presentar un solo registro.

Ese detalle pesa más que un simple porcentaje de cumplimiento. Las entidades que el NIS2 debía proteger en primer lugar - operadores de red, empresas de agua, redes de calefacción urbana - son, por su propia estructura, las más propensas a tropezar con la lógica de acceso de la ley, precisamente porque son multisectoriales por diseño. Una brecha concentrada en pequeñas empresas generalistas sería un problema de formación; una brecha concentrada en operadores municipales de infraestructuras críticas es un fallo de diseño en la propia puerta de entrada de la ley.

El punto ciego de tres meses

Esto es lo que la cobertura del plazo pasó por alto. La propia página de cifras de la BSI afirma que su próxima actualización 'no se espera antes del 31 de octubre de 2026' - lo que significa que el recuento público de registros del regulador permanecerá sin actualizar precisamente durante el trimestre en que se levantó su tolerancia sancionadora. Toda entidad alemana 'importante' o 'especialmente importante' tiene ahora obligaciones legales de cadena de suministro frente a sus propios proveedores, y cualquier contraparte de la UE o el Reino Unido que realice una diligencia debida relacionada con el NIS2 sobre un proveedor alemán no cuenta con una fuente actualizada donde comprobarlo - solo una instantánea que ya tenía seis semanas de antigüedad el día en que expiró la tolerancia, y que tendrá casi cuatro meses de antigüedad cuando se actualice.

Como el registro en sí no cambia nada en la postura de seguridad real de una organización - es una puerta burocrática, no un control técnico -, las empresas con más que perder por ser identificadas públicamente como rezagadas tienen todos los incentivos para registrarse ahora en silencio en lugar de anunciar la brecha. Cabe esperar que las cifras públicas de Alemania mejoren notablemente de aquí a finales de octubre, aunque los meses intermedios contengan una población no contabilizada de entidades expuestas. La recomendación práctica para cualquier empresa que dependa de un proveedor alemán de infraestructuras críticas o servicios digitales: pida ahora, por escrito, la confirmación del registro BSIG - no en noviembre, cuando la propia cifra de la BSI vuelva a estar desactualizada.

Leer a continuación: Agentes de OpenAI convirtieron una wiki alemana en su tablón  |  Una planta eléctrica británica, apagada cuatro días, sin aviso