Termin, który nigdy naprawdę nie był terminem
Niemiecka ustawa wdrażająca NIS2, ustawa o BSI (BSIG), weszła w życie 6 grudnia 2025 roku i zobowiązywała około 29 500 firm oraz podmiotów publicznych z sektorów energii, zdrowia, transportu i infrastruktury cyfrowej do zarejestrowania się w Federalnym Urzędzie do spraw Bezpieczeństwa Informacji do 6 marca 2026 roku. Rejestracja ruszyła przez portal BSI w styczniu 2026 roku, ale w dniu ustawowego terminu zarejestrował się zaledwie ułamek podmiotów. W obliczu wskaźnika zgodności, który własni urzędnicy BSI uznali za zbyt niski, by go egzekwować, urząd ogłosił, że przyjmie spóźnione rejestracje i wstrzyma się z sankcjami do 31 lipca 2026 roku - to było okno karencji, a nie nowy termin ustawowy.
Własna strona BSI z danymi, 'NIS-2 in Zahlen', wskazywała 17 729 zarejestrowanych podmiotów na dzień 30 czerwca 2026 roku, w podziale na 11 501 podmiotów 'ważnych' i 6 215 'szczególnie ważnych', w tym 1 342 wyznaczonych operatorów infrastruktury krytycznej (KRITIS). Niezależne doniesienia prawne i branżowe, powołujące się na własne dane BSI z końca lipca, mówią o około 18 500-19 000 rejestracji po zamknięciu okna karencji - co oznacza, że między 10 500 a 11 800 oczekiwanych podmiotów, blisko jedna trzecia całości, wciąż pozostawało poza systemem w chwili wygaśnięcia karencji.
Paradoks przedsiębiorstw komunalnych
VKU, organizacja reprezentująca niemieckie komunalne przedsiębiorstwa użyteczności publicznej (Stadtwerke), oświadczyła prasie branżowej, że luka rejestracyjna w jej sektorze nie wynika z lekceważenia ustawy przez firmy. Stanowisko organizacji, przytoczone dosłownie: 'złożona analiza przynależności, zwłaszcza dla firm wielosektorowych, jest naszym zdaniem głównym powodem, dla którego liczba rejestracji była tak ograniczona', z zastrzeżeniem, że weryfikacja klasyfikacyjna 'jest na tyle skomplikowana, że jest niemal niemożliwa bez zewnętrznej pomocy prawnej'. Wiele Stadtwerke działa jednocześnie w energetyce, wodociągach, gospodarce ściekowej, a czasem też w telekomunikacji, a sektorowy test przynależności NIS2 zmusza każdą z tych linii biznesowych do przejścia własnej analizy kwalifikacyjnej, zanim w ogóle można złożyć jedną rejestrację.
Ten szczegół waży więcej niż sam wskaźnik zgodności. Podmioty, które NIS2 miał chronić przede wszystkim - operatorzy sieci, przedsiębiorstwa wodociągowe, sieci ciepłownicze - strukturalnie najczęściej potykają się o własną logikę wejścia do systemu przewidzianą w ustawie, właśnie dlatego, że z natury są wielosektorowe. Luka skoncentrowana wśród małych, jednosektorowych firm byłaby problemem szkoleniowym; luka skoncentrowana wśród komunalnych operatorów infrastruktury krytycznej jest wadą projektową samej bramy wejściowej ustawy.
Trzymiesięczna martwa strefa
Oto co pominięto w relacjach o terminie. Własna strona BSI z danymi podaje, że kolejna aktualizacja 'nie jest oczekiwana przed 31 października 2026 roku' - co oznacza, że publiczny licznik rejestracji regulatora pozostanie niezmieniony właśnie w kwartale, w którym wygasła jego pobłażliwość wobec sankcji. Każdy niemiecki podmiot 'ważny' lub 'szczególnie ważny' ma teraz ustawowe obowiązki wobec własnych dostawców w ramach łańcucha dostaw, a każdy kontrahent z UE lub Wielkiej Brytanii, który prowadzi analizę due diligence związaną z NIS2 wobec niemieckiego dostawcy, nie ma aktualnego źródła do sprawdzenia - jedynie migawkę, która w dniu wygaśnięcia karencji miała już sześć tygodni, a przy kolejnej aktualizacji będzie miała niemal cztery miesiące.
Ponieważ sama rejestracja niczego nie zmienia w rzeczywistym stanie bezpieczeństwa organizacji - to biurokratyczna brama, a nie środek techniczny - firmy, które mają najwięcej do stracenia na publicznym oznaczeniu jako spóźnialskie, mają wszelkie powody, by zarejestrować się teraz po cichu, zamiast ujawniać lukę. Należy więc się spodziewać, że publiczne dane Niemiec będą wyglądać wyraźnie lepiej pod koniec października, mimo że miesiące pośrednie obejmują nieprzeliczoną populację narażonych podmiotów. Praktyczna rada dla każdej firmy zależnej od niemieckiego dostawcy infrastruktury krytycznej lub usług cyfrowych: poprosić już teraz, na piśmie, o potwierdzenie rejestracji BSIG - nie w listopadzie, kiedy własna liczba BSI znów będzie nieaktualna.
Czytaj dalej: Agenty OpenAI zamieniły niemiecką wiki w własną tablicę | Brytyjska elektrownia wyłączona cztery dni, nigdy zgłoszona
