Termin, który nigdy naprawdę nie był terminem

Niemiecka ustawa wdrażająca NIS2, ustawa BSI (BSIG), weszła w życie 6 grudnia 2025 roku i zobowiązywała około 29.500 firm i podmiotów publicznych z sektorow energii, zdrowia, transportu oraz infrastruktury cyfrowej do zarejestrowania się w Federalnym Urzędzie do spraw Bezpieczeństwa Informacji do 6 marca 2026 roku. Portal BSI został uruchomiony w styczniu 2026 roku, ale w ustawowym terminie zarejestrował się zaledwie ułamek podmiotów. W obliczu wskaźnika zgodności, który własni urzednicy uznali za zbyt niski, by go egzekwować, BSI ogłosił, że będzie akceptować spóźnione rejestrację i wstrzyma się z sankcjami do 31 lipca 2026 roku - okno pobłazliwosci, a nie nowa data ustawowa.

Własna strona z danymi BSI, 'NIS-2 in Zahlen', wskazywała 17.729 zarejestrowanych podmiotów na dzień 30 czerwca 2026 roku, w podziale na 11.501 podmiotów 'ważnych' i 6.215 'szczególnie ważnych', w tym 1.342 wyznaczonych operatorów infrastruktury krytycznej (KRITIS). Niezależne doniesienia prawne i branżowe, powołujące się na własne dane BSI z końca lipca, mówią o około 18.500-19.000 rejestracji po zamknięciu okna pobłazliwosci - co pozostawia między 10.500 a 11.800 oczekiwanych podmiotów, blisko jedna trzecia całości, nadal poza systemem w momencie wygaśnięcia pobłazliwosci.

Paradoks przedsiębiorstw komunalnych

VKU, organizacja reprezentująca niemieckie komunalne przedsiębiorstwa użyteczności publicznej (Stadtwerke), oświadczyła prasie branżowej, że luka rejestracyjna w jej sektorze nie jest historia firm ignorujących ustawę. Stanowisko organizacji w oryginalnym brzmieniu: 'złożona analiza przynależności, zwłaszcza dla firm wielosektorowych, jest naszym zdaniem głównym powodem, dla którego liczba rejestracji była tak ograniczona', z dodatkiem, że weryfikacja klasyfikacyjna 'jest tak skomplikowana, że jest niemal niemożliwa bez zewnętrznej pomocy prawnej'. Wiele Stadtwerke działa jednocześnie w energetyce, wodociągach, gospodarce ściekowej, a czasem w telekomunikacji, a sektorowy test przynależności NIS2 zmusza każda z tych linii biznesowych do przejścia własnej analizy kwalifikacyjnej, zanim można w ogóle złożyć pojedynczą rejestrację.

Ten szczegół waży więcej niż sam wskaźnik zgodności. Podmioty, które NIS2 miał chronić przede wszystkim - operatorzy sieci, przedsiębiorstwa wodociągowe, sieci ciepłownicze - strukturalnie najczęściej potykają się o własna logikę wejścia do systemu ustawy, właśnie dlatego, że z natury są wielosektorowe. Luka skoncentrowana wśród małych, jednosektorowych firm byłaby problemem szkoleniowym; luka skoncentrowana wśród komunalnych operatorów infrastruktury krytycznej jest wada projektowa samej bramy wejściowej ustawy.

Trzymiesięczna martwa strefa

Oto co pominięto w relacjach o terminie. Własna strona z danymi BSI podaje, że kolejna aktualizacja 'nie jest oczekiwana przed 31 października 2026 roku' - co oznacza, że publiczny licznik rejestracji regulatora pozostanie niezmieniony właśnie w kwartale, w którym wygasła jego pobłazliwosc wobec sankcji. Każdy niemiecki podmiot 'ważny' lub 'szczególnie ważny' ma teraz ustawowe obowiązki w łańcuchu dostaw wobec własnych dostawców, a każdy kontrahent z UE lub Wielkiej Brytanii przeprowadzający należyta staranność związana z NIS2 wobec niemieckiego dostawcy nie ma aktualnego źródła do sprawdzenia - jedynie migawkę, która w dniu wygaśnięcia pobłazliwosci miała już sześć tygodni, a przy następnej aktualizacji będzie miała niemal cztery miesiące.

Ponieważ sama rejestracja niczego nie zmienia w rzeczywistym stanie bezpieczeństwa organizacji - jest biurokratyczna brama, a nie środkiem technicznym - firmy mające najwięcej do stracenia na publicznym oznaczeniu jako spóźnialskie mają pełen powód, by zarejestrować się teraz po cichu, zamiast ujawniać lukę. Należy więc oczekiwać, że publiczne dane Niemiec będą wyglądać wyraźnie lepiej pod koniec października, mimo że miesiące pośrednie obejmą nieprzeliczona populację narażonych podmiotów. Praktyczna rada dla każdej firmy zależnej od niemieckiego dostawcy infrastruktury krytycznej lub usług cyfrowych: poprosić już teraz, na piśmie, o potwierdzenie rejestracji BSIG - nie w listopadzie, kiedy własna liczba BSI będzie już znowu nieaktualna.

Czytaj dalej: Osiemnastoletnia luka Cisco ma teraz 3 dni na łatkę  |  NIS2 czyni niemiecki zarząd osobiście odpowiedzialnym za cyberbezpieczeństwo