Um prazo que nunca foi verdadeiramente um prazo
A lei alemã de transposição do NIS2, a Lei BSI (BSIG), entrou em vigor a 6 de dezembro de 2025 e obrigava cerca de 29.500 empresas e organismos públicos dos setores da energia, saúde, transportes e infraestruturas digitais a registarem-se junto do Gabinete Federal de Seguranca da Informação até 6 de março de 2026. O portal da BSI abriu em janeiro de 2026, mas no prazo legal apenas uma fração se tinha registado. Perante uma taxa de conformidade que os próprios responsáveis consideraram demasiado baixa para ser aplicada, a BSI anunciou que aceitaria registos tardios e se absteria de sanções até 31 de julho de 2026 - uma janela de tolerância, não uma nova data legal.
A própria página de acompanhamento da BSI, 'NIS-2 in Zahlen', indicava 17.729 entidades registadas a 30 de junho de 2026, repartidas em 11.501 entidades 'importantes' e 6.215 'particularmente importantes', incluindo 1.342 operadores designados de infraestruturas críticas (KRITIS). Relatos jurídicos e setoriais independentes, citando os próprios dados da BSI no final de julho, apontam para cerca de 18.500 a 19.000 registos após o encerramento da janela de tolerância - deixando entre 10.500 e 11.800 entidades esperadas, quase um terço do total, ainda fora do sistema quando a tolerância expirou.
O paradoxo das empresas de serviços públicos
A VKU, a associação que representa as empresas municipais de serviços públicos da Alemanha (Stadtwerke), declarou a imprensa setorial que o fosso de registo no seu setor não é uma história de empresas a ignorar a lei. A sua posição, tal como formulada: 'a complexa análise de afiliação, particularmente para empresas multissetoriais, é na nossa opinião a principal razão pela qual os registos foram tão limitados', acrescentando que a análise de classificação 'é tão complicada que se torna quase impossível sem apoio jurídico profissional externo'. Muitas Stadtwerke operam em simultâneo na energia, água, águas residuais e por vezes telecomunicações, e o teste de afiliação setorial do NIS2 obriga cada uma dessas áreas de negócio a passar pela sua própria análise de qualificação antes de sequer poder ser apresentado um único registo.
Este pormenor pesa mais do que uma simples percentagem de conformidade. As entidades que o NIS2 devia proteger em primeiro lugar - operadores de rede, empresas de água, redes de aquecimento urbano - são estruturalmente as que mais facilmente tropeçam na própria lógica de acesso da lei, precisamente por serem multissetoriais por natureza. Um fosso concentrado em pequenas empresas generalistas seria um problema de formação; um fosso concentrado em operadores municipais de infraestruturas críticas é uma falha de conceção na própria porta de entrada da lei.
O ponto cego de três meses
Eis o que a cobertura sobre o prazo deixou passar. A própria página de dados da BSI afirma que a próxima atualização 'não é esperada antes de 31 de outubro de 2026' - o que significa que a contagem pública de registos do regulador permanecerá por atualizar precisamente no trimestre em que a sua tolerância sancionatória terminou. Qualquer entidade alemã 'importante' ou 'particularmente importante' passa agora a ter obrigações legais de cadeia de fornecimento perante os seus próprios fornecedores, e qualquer contraparte da UE ou do Reino Unido que faça diligência devida relacionada com o NIS2 sobre um fornecedor alemão não dispõe de uma fonte atualizada para verificar - apenas um retrato que já tinha seis semanas quando a tolerância expirou, e que terá quase quatro meses quando for atualizado.
Como o registo em si não altera nada na postura de segurança real de uma organização - é uma porta burocrática, não um controlo técnico -, as empresas com mais a perder ao serem publicamente identificadas como retardatárias têm todos os incentivos para se registarem agora em silêncio, em vez de anunciarem o fosso. E de esperar, portanto, que os números públicos da Alemanha pareçam consideravelmente melhores até ao final de outubro, ainda que os meses intermédios contenham uma população não contabilizada de entidades expostas. A recomendação prática para qualquer empresa que dependa de um fornecedor alemão de infraestruturas críticas ou serviços digitais: peça já, por escrito, a confirmação do registo BSIG - não em novembro, quando o próprio número da BSI já estará de novo desatualizado.
Leia a seguir: Uma falha da Cisco com 18 anos tem agora um prazo de 3 dias | NIS2 torna a gestão alemã pessoalmente responsável pela cibersegurança
