Una scadenza che non era mai davvero una scadenza
La legge tedesca di recepimento della NIS2, la legge BSI (BSIG), è entrata in vigore il 6 dicembre 2025 e imponeva a circa 29.500 aziende ed enti pubblici dei settori energia, salute, trasporti e infrastrutture digitali di registrarsi presso l'Ufficio federale per la sicurezza informatica entro il 6 marzo 2026. Il portale del BSI ha aperto a gennaio 2026, ma alla scadenza di legge si era registrata solo una minima parte. Di fronte a un tasso di conformità che gli stessi funzionari hanno definito troppo basso per essere fatto rispettare, il BSI ha annunciato che avrebbe accettato registrazioni tardive e rinunciato alle sanzioni fino al 31 luglio 2026 - una finestra di tolleranza, non una nuova data di legge.
La pagina ufficiale di monitoraggio del BSI, 'NIS-2 in Zahlen', indicava 17.729 soggetti registrati al 30 giugno 2026, suddivisi in 11.501 soggetti 'importanti' e 6.215 'particolarmente importanti', tra cui 1.342 operatori designati di infrastrutture critiche (KRITIS). Fonti giuridiche e di settore indipendenti, citando i dati dello stesso BSI a fine luglio, parlano di circa 18.500-19.000 registrazioni dopo la chiusura della finestra di tolleranza - il che lascia tra 10.500 e 11.800 soggetti attesi, quasi un terzo del totale, ancora fuori dal sistema quando la tolleranza è scaduta.
Il paradosso delle utility
La VKU, l'associazione che rappresenta le utility municipali tedesche (Stadtwerke), ha dichiarato alla stampa di settore che il divario di registrazione nel proprio comparto non è una storia di aziende che ignorano la legge. La sua posizione testuale: 'la complessa analisi di appartenenza, in particolare per le aziende multisettoriali, è a nostro avviso la ragione principale per cui le registrazioni sono state così limitate', aggiungendo che la verifica di classificazione 'è così complicata da risultare quasi impossibile senza assistenza legale professionale esterna'. Molte Stadtwerke operano contemporaneamente in energia, acqua, acque reflue e talvolta telecomunicazioni, e il test di appartenenza settoriale della NIS2 costringe ciascuna di queste linee di business a superare una propria analisi di qualificazione prima ancora di poter presentare una singola registrazione.
Questo dettaglio pesa più di una semplice percentuale di conformità. I soggetti che la NIS2 avrebbe dovuto proteggere per primi - gestori di rete, aziende idriche, reti di teleriscaldamento - sono strutturalmente quelli più esposti a inciampare nella logica di accesso della legge stessa, proprio perché sono multisettoriali per costituzione. Un divario concentrato tra piccole imprese generaliste sarebbe un problema di formazione; un divario concentrato tra operatori municipali di infrastrutture critiche è un difetto di progettazione nella porta d'accesso della legge stessa.
Il punto cieco di tre mesi
Ecco cio che la copertura mediatica sulla scadenza ha trascurato. La pagina dei dati del BSI afferma che il prossimo aggiornamento 'non è atteso prima del 31 ottobre 2026' - il che significa che il conteggio pubblico delle registrazioni del regolatore restera invariato proprio nel trimestre in cui è cessata la sua tolleranza sanzionatoria. Ogni soggetto tedesco 'importante' o 'particolarmente importante' ha ora obblighi legali di filiera verso i propri fornitori, e qualsiasi controparte UE o britannica che effettui una due diligence legata alla NIS2 su un fornitore tedesco non ha una fonte aggiornata da consultare - solo un'istantanea che aveva già sei settimane quando è scaduta la tolleranza, e che ne avrà quasi quattro quando sarà aggiornata.
Poiché la registrazione in sé non cambia nulla della reale postura di sicurezza di un'organizzazione - è una porta burocratica, non un controllo tecnico -, le aziende con più da perdere dall'essere identificate pubblicamente come ritardatarie hanno ogni interesse a registrarsi ora in silenzio, invece di rendere nota la lacuna. C'è da aspettarsi che i numeri pubblici tedeschi appaiano notevolmente migliori entro la fine di ottobre, pur restando i mesi intermedi popolati da soggetti esposti non conteggiati. Il consiglio pratico per qualsiasi azienda che dipenda da un fornitore tedesco di infrastrutture critiche o servizi digitali: chiedere subito, per iscritto, la conferma della registrazione BSIG - non a novembre, quando il dato dello stesso BSI sarà di nuovo superato.
Da leggere ora: Un bug Cisco di 18 anni ha ora 3 giorni di tempo | NIS2 rende i vertici aziendali tedeschi personalmente responsabili della cybersicurezza
