30 de septiembre de 2026 · NIS-2 · Regulatorik · Compliance · Meldepflicht · Mittelstand

Registro NIS-2: plazo vencido – qué rige ahora

El plazo de registro de NIS-2 ha vencido. Cómo comprobar si le afecta, registrarse con retraso y por qué después empieza el verdadero trabajo.

En la página del BSI para empresas reguladas por NIS-2 figura actualmente, en primer lugar, una frase que no necesita interpretación: «El plazo legal de registro ya ha vencido». Debajo sigue el requerimiento de que quien esté afectado y aún no se haya registrado lo haga «ahora de inmediato» en el portal del BSI.

Este artículo se dirige a las empresas que todavía no están seguras en esta cuestión, bien porque nunca han comprobado si les afecta, bien porque han aplazado el registro. Ambas cosas pueden recuperarse. Ninguna de las dos debería esperar más.

La situación jurídica en tres frases

La nueva Ley del BSI se aprobó como artículo 1 de la ley de 2 de diciembre de 2025 (BGBl. 2025 I n.º 301) y entró en vigor el 6 de diciembre de 2025. El § 33, apartado 1, BSIG obliga a las entidades especialmente importantes y a las entidades importantes a registrarse ante el BSI a más tardar tres meses después de que se consideren como tales «por primera vez o de nuevo» («erstmals oder erneut»). Para todos los que están sujetos a la ley desde su entrada en vigor, ese plazo venció hace meses.

La formulación «por primera vez o de nuevo» merece una segunda mirada. El plazo no es una fecha límite única que haya quedado atrás. Una empresa que supera un umbral por crecimiento, una adquisición o un nuevo ámbito de negocio dispone a partir de ese momento de nuevo de tres meses. La comprobación de afectación no es, por tanto, un ejercicio único, sino que forma parte de la planificación anual.

¿Me afecta? La autocomprobación

Lo determinante es el § 28 BSIG. Hay que responder afirmativamente a dos preguntas.

Primera: ¿pertenece su actividad a uno de los tipos de entidad de los anexos 1 y 2 de la ley? La distinción entre ambos anexos es importante, porque decide la posible clasificación. El anexo 1 comprende los sectores de energía, transporte y tráfico, finanzas, sanidad, agua, infraestructura digital y espacio. El anexo 2 va mucho más allá de los sectores KRITIS clásicos y menciona, por ejemplo, los servicios postales y de mensajería, la gestión de residuos, las empresas alimentarias en el comercio mayorista y la producción industrial y, en la industria manufacturera, entre otros, la construcción de maquinaria, la fabricación de equipos eléctricos y la fabricación de vehículos de motor y sus componentes. Las actividades empresariales que sean insignificantes en relación con el conjunto de la actividad empresarial pueden no tenerse en cuenta según el § 28, apartado 3.

Segunda: ¿alcanza usted los umbrales de tamaño? Para la mayoría de las empresas rige lo siguiente:

  • Entidad importante (tipos de entidad de los anexos 1 o 2): al menos 50 empleados o una facturación anual y un balance anual de más de 10 millones de euros cada uno.
  • Entidad especialmente importante (solo tipos de entidad del anexo 1): al menos 250 empleados o una facturación anual de más de 50 millones de euros y, además, un balance anual de más de 43 millones de euros.

Un fabricante de maquinaria con 300 empleados es, por tanto, una entidad importante, no una especialmente importante –la construcción de maquinaria figura en el anexo 2–, siempre que no opere una instalación crítica ni ejerza además una actividad del anexo 1. Solo con un tipo de entidad del anexo 1 el mismo tamaño conduce a la clasificación como especialmente importante.

Para algunos tipos de entidad –por ejemplo, los prestadores de servicios de confianza, los proveedores de servicios DNS y los proveedores de telecomunicaciones– rigen reglas distintas, que llegan hasta la clasificación con independencia del tamaño. Para el cálculo, la ley remite a la Recomendación de la Comisión Europea sobre las pymes. Los datos de empresas asociadas o vinculadas no se suman si su empresa es independiente de ellas en lo que respecta a sus sistemas y procesos de TI.

Para una primera clasificación, el BSI pone a disposición una comprobación de afectación en línea. No sustituye a una valoración jurídica. Pero deje constancia por escrito del resultado, junto con las cifras en las que se basa. También un «no afectado» es una afirmación que, en caso de duda, debería poder fundamentar.

Qué hacer si se ha pasado el plazo

Regístrese ahora. La ley no prevé ningún plazo adicional que se pudiera esperar. Según el § 33, apartado 3, el BSI puede también efectuar él mismo el registro, de acuerdo con la autoridad de supervisión competente, si una empresa no cumple su obligación. Y según el apartado 4: si «hechos justifican la suposición» («Rechtfertigen Tatsachen die Annahme») de que una entidad no cumple su obligación de registro, esta debe presentar documentación al BSI y facilitarle información a petición suya. Quien espera deja, por tanto, el primer paso a la autoridad.

El registro se realiza en dos pasos:

  1. Solicitar el certificado de organización ELSTER a través del servicio «Mein Unternehmenskonto». El requisito es un número fiscal alemán (Steuernummer). Una parte de los datos de activación llega por correo postal; el BSI indica para ello por lo general al menos cinco días hábiles. Quien empiece hoy estará, por tanto, en el portal como pronto la semana que viene.
  2. Registro en el portal del BSI con ese certificado. Se solicitan, entre otros datos, el sector y el tipo de entidad, los Estados miembros de la UE en los que opera, las autoridades de supervisión competentes y un punto de contacto NIS-2. El § 33, apartado 1, exige además los rangos de direcciones IP públicas.

Dos indicaciones prácticas. El BSI recomienda un certificado de organización ELSTER por cada persona que deba tener acceso al portal; quien se registra primero se convierte automáticamente en administrador. Prevea, por tanto, al menos un suplente, y no solo cuando el único titular del certificado esté de vacaciones y haya que notificar un incidente. Y: si los datos cambian más adelante, los cambios deben notificarse según el § 33, apartado 5, sin demora y, a más tardar, en un plazo de dos semanas desde que se tenga conocimiento de ellos.

Lo que puede costar un incumplimiento. Quien no transmita o no transmita a tiempo un dato conforme al § 33 comete una infracción administrativa según el § 65 BSIG; el marco de multas llega hasta 500.000 euros. Es notablemente más alto en las obligaciones de fondo: por infracciones de las obligaciones de gestión de riesgos o de notificación, la ley prevé hasta 10 millones de euros en las entidades especialmente importantes y hasta 7 millones de euros en las entidades importantes. Con una facturación total superior a 500 millones de euros, pueden ser en su lugar hasta el 2 o el 1,4 por ciento, respectivamente, de la facturación mundial.

El registro es solo el primer paso

Con el registro usted se da de alta ante el BSI. Con ello no se cumple todavía ninguna de las obligaciones de las que realmente se trata.

Gestión de riesgos según el § 30. Las entidades afectadas deben adoptar medidas técnicas y organizativas adecuadas, proporcionadas y eficaces, y documentar su cumplimiento. El catálogo mínimo comprende diez puntos, entre ellos el análisis de riesgos, la gestión de incidentes de seguridad, la gestión de backups y la recuperación, la seguridad de la cadena de suministro, la gestión de vulnerabilidades, la formación, la criptografía, el control de acceso y la autenticación multifactor.

Obligaciones de notificación según el § 32. Los incidentes de seguridad significativos deben notificarse de forma escalonada: una alerta temprana a más tardar 24 horas después de tener conocimiento, una notificación con una primera valoración a más tardar a las 72 horas y una notificación final un mes después de la notificación de las 72 horas (si el incidente continúa, primero un informe de situación). El BSI aclara que se trata de plazos máximos que no deberían agotarse. Importante para los rezagados: según el BSI, quien todavía no esté registrado y sufra un incidente significativo lo notifica mediante un formulario en línea en el portal de notificación e información. La falta de registro no exime de la notificación.

Obligaciones de la dirección según el § 38. La dirección debe implementar las medidas de gestión de riesgos, supervisar su implementación y participar regularmente en formaciones. De los daños causados de forma culpable responde conforme a las normas de derecho de sociedades de su forma jurídica. El trabajo puede delegarse, la responsabilidad no.

Un orden realista

Para una empresa que hoy constata que está afectada, recomendamos esta secuencia: esta semana, solicitar el certificado ELSTER y documentar la afectación; tras recibir el certificado, registrarse; en paralelo, establecer un proceso de notificación que funcione también un viernes por la noche: quién detecta, quién valora, quién notifica, con suplentes. A continuación sigue un inventario estructurado frente al catálogo del § 30 con un plan de medidas priorizado. La hoja de ruta del BSI «#nis2know» estructura este procedimiento en seis fases y es un marco útil.

Cómo apoya sector7

El registro en sí se resuelve en pocos pasos. En lo que viene después le apoyamos: con un inventario estructurado de sus medidas, una hoja de ruta priorizada y la implementación técnica; más información en Regulación y compliance. Como responsable externo de seguridad de la información, también mantenemos, si así lo desea, sus vías de notificación para casos de emergencia; las medidas técnicas las encontrará en Ciberseguridad.

Este artículo es una valoración técnica y no sustituye el asesoramiento jurídico en el caso concreto.

Fuentes

Hablemos de su situación.

Concertar una conversación+49 212 240915 0