En frist som aldrig riktigt var en frist
Tysklands genomförandelag för NIS2, BSI-lagen (BSIG), trädde i kraft den 6 december 2025 och krävde att omkring 29 500 företag och offentliga organ inom energi, hälsa, transport och digital infrastruktur skulle registrera sig hos Förbundsmyndigheten för informationssäkerhet senast den 6 mars 2026. BSI:s portal öppnade i januari 2026, men vid den lagstadgade fristen hade bara en bråkdel registrerat sig. Inför en efterlevnadsgrad som myndighetens egna tjänstemän kallade för låg för att kunna upprätthållas, meddelade BSI att man skulle acceptera sena registreringar och avstå från sanktioner fram till den 31 juli 2026 - ett överseendefönster, inte ett nytt lagstadgat datum.
BSI:s egen räknesida, 'NIS-2 in Zahlen', angav 17 729 registrerade enheter per den 30 juni 2026, uppdelat på 11 501 'viktiga' och 6 215 'särskilt viktiga' organisationer, däribland 1 342 utsedda operatörer av kritisk infrastruktur (KRITIS). Oberoende juridiska och branschrapporter som hänvisar till BSI:s egna siffror från slutet av juli anger cirka 18 500 till 19 000 registreringar efter att överseendefönstret stängdes - vilket lämnar mellan 10 500 och 11 800 förväntade enheter, nästan en tredjedel av det totala antalet, fortfarande utanför systemet när överseendet upphörde.
Energibolagens paradox
VKU, organisationen som representerar Tysklands kommunala energibolag (Stadtwerke), uppgav för branschpressen att registreringsgapet i deras sektor inte handlar om företag som struntar i lagen. Föreningens uttalade hållning: 'den komplexa tillhörighetsanalysen, särskilt för flersektorsföretag, är enligt vår uppfattning huvudskälet till att registreringarna varit så begränsade', med tillägget att klassificeringsprövningen 'är så komplicerad att den är nästan omöjlig utan extern juridisk hjälp'. Många Stadtwerke verkar samtidigt inom energi, vatten, avloppsvatten och ibland telekommunikation, och NIS2:s sektorsvisa tillhörighetstest tvingar var och en av dessa affärsgrenar genom en egen kvalificeringsanalys innan en enda registrering ens kan lämnas in.
Den detaljen väger tyngre än en enkel efterlevnadsprocent. De enheter som NIS2 först och främst skulle skydda - nätoperatörer, vattenbolag, fjärrvärmenät - är strukturellt de som oftast snubblar på lagens egen inträdeslogik, just för att de av naturen är flersektoriella. Ett gap koncentrerat till små generalistföretag skulle vara ett utbildningsproblem; ett gap koncentrerat till kommunala operatörer av kritisk infrastruktur är ett designfel i lagens egen ingångsport.
Den tre månader långa blinda fläcken
Här är det som rapporteringen om fristen missade. BSI:s egen siffersida uppger att nästa uppdatering 'inte förväntas förrän tidigast den 31 oktober 2026' - vilket innebär att tillsynsmyndighetens offentliga registreringsantal står oförändrat precis under det kvartal då sanktionsöverseendet upphörde. Varje tysk 'viktig' eller 'särskilt viktig' enhet bär nu lagstadgade leverantörskedjeskyldigheter gentemot sina egna leverantörer, och varje EU- eller Storbritannien-motpart som utför NIS2-relaterad due diligence på en tysk leverantör har ingen aktuell källa att kontrollera mot - bara en ögonblicksbild som redan var sex veckor gammal den dag överseendet upphörde, och som kommer att vara nästan fyra månader gammal när den uppdateras.
Eftersom själva registreringen inte ändrar något i en organisations faktiska säkerhetsläge - den är en byråkratisk port, inte en teknisk kontroll - har företag med mest att förlora på att offentligt pekas ut som sena all anledning att registrera sig tyst nu i stället för att tillkännage gapet. Vänta dig därför att Tysklands offentliga siffror ser markant bättre ut vid slutet av oktober, även om de mellanliggande månaderna innehåller en oräknad mängd exponerade enheter. Det praktiska rådet till varje företag som är beroende av en tysk leverantör av kritisk infrastruktur eller digitala tjänster: begär nu, skriftligt, bekräftelse på BSIG-registrering - inte i november, när BSI:s egen siffra redan är föråldrad igen.
Läs vidare: OpenAI-agenter gjorde en tysk wiki till sin egen tavla | Brittiskt kraftverk nedstängt fyra dagar - aldrig anmält
