Desde el 6 de diciembre de 2025 está en vigor la ley alemana de transposición de NIS2 (NIS2UmsuCG). Ha reformado a fondo la ley alemana del BSI (BSIG) y ha ampliado considerablemente el círculo de empresas reguladas en Alemania. En lugar de unos pocos miles de operadores de infraestructuras críticas, ahora también quedan incluidas muchas empresas medianas de numerosos sectores, desde la energía y la sanidad, pasando por la logística y la alimentación, hasta los servicios digitales y partes de la industria manufacturera. Diez meses después del inicio, las bases deberían estar asentadas. Este artículo resume dónde deberían encontrarse ahora las empresas.
¿Le afecta?
La ley distingue entre entidades esenciales y entidades importantes. Son decisivas dos preguntas: ¿opera en alguno de los sectores enumerados y alcanza el umbral de tamaño? A grandes rasgos, pueden quedar incluidas las empresas medianas a partir de 50 empleados o con más de 10 millones de euros de volumen de negocio anual y balance. Para algunos servicios, por ejemplo determinadas infraestructuras digitales, la ley se aplica con independencia del tamaño. La clasificación la realiza cada entidad por sí misma. No existe una confirmación por parte de la Oficina Federal de Seguridad de la Información (BSI). Por eso, deje constancia por escrito de su evaluación, con su justificación.
Registro según el § 33 de la BSIG
Las entidades afectadas deben registrarse ante el BSI, a más tardar tres meses después de quedar sujetas a la ley por primera vez. Para todas las que ya estaban incluidas en el momento de la entrada en vigor, este plazo terminó el 6 de marzo de 2026. Como se habían registrado muchas menos empresas de lo esperado, el BSI hizo un llamamiento para completar el registro hasta finales de julio de 2026. También esta fecha ha vencido.
Quien todavía no esté registrado debería hacerlo sin más demora. El registro se realiza a través del portal del BSI. Requiere un acceso mediante «Mein Unternehmenskonto» (la cuenta empresarial alemana), basada en un certificado de ELSTER. Calcule unos días para ello, porque los datos de acceso llegan en parte por correo postal. Si cambian los datos comunicados, por ejemplo el punto de contacto, debe informar al BSI sin demora.
Medidas según el § 30 de la BSIG
El núcleo de la ley son medidas adecuadas de gestión de riesgos. El § 30 enumera diez ámbitos que deben cubrirse como mínimo. Resumidos con nuestras propias palabras:
- Políticas de análisis de riesgos y de seguridad de los sistemas de información
- Gestión de incidentes de seguridad
- Continuidad de las operaciones, copias de seguridad y recuperación, gestión de crisis
- Seguridad de la cadena de suministro
- Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión de vulnerabilidades
- Evaluación de la eficacia de las medidas
- Ciberhigiene y formación
- Criptografía y cifrado
- Seguridad del personal, control de acceso y gestión de activos
- Autenticación multifactor y comunicaciones seguras
Adecuadas significa que las medidas deben corresponder al riesgo, al tamaño de la entidad y a los costes, y tener en cuenta el estado de la técnica. La ley no exige ninguna certificación. Pero, llegado el caso, debe poder demostrar lo que ha implantado.
Obligaciones de notificación según el § 32 de la BSIG
Los incidentes de seguridad significativos deben notificarse al BSI en tres etapas: una primera notificación en un plazo de 24 horas desde que tenga conocimiento, una notificación más detallada en un plazo de 72 horas y un informe final en el plazo de un mes desde esa notificación. Estos plazos solo pueden cumplirse si se ha determinado de antemano quién decide si un incidente es significativo, quién notifica y quién sustituye. Una cadena de notificación que se diseña durante el incidente llega demasiado tarde.
Deberes de la dirección según el § 38 de la BSIG
El § 38 se dirige directamente a la dirección. Esta debe implantar las medidas del § 30 y supervisar su implantación. Además, los miembros de la dirección deben participar periódicamente en formaciones para poder reconocer los riesgos y evaluar las medidas. La tarea no puede delegarse por completo en el departamento de TI. Si la dirección incumple sus deberes de forma culposa, puede responder frente a la entidad. Por eso, documente las decisiones, los informes a la dirección y las evidencias de formación.
Prioridades para las próximas semanas
- Revisar y documentar la clasificación. Con justificación, sector y criterios de tamaño.
- Completar el registro o revisar los datos. ¿Siguen siendo correctos el punto de contacto y los datos?
- Definir y practicar la cadena de notificación. Responsables, suplentes, criterios de significatividad, plantillas para las tres etapas de notificación.
- Análisis de brechas del § 30. ¿Dónde se encuentra en los diez ámbitos? Lo que falte pasa a un plan de acción con fecha y responsables.
- Implicar a la dirección. Informes periódicos, decisiones documentadas y una primera formación de la dirección.
Qué significa esto para usted
Si le afecta, las obligaciones ya se aplican. El registro y la cadena de notificación tienen prioridad, porque aquí corren plazos y los incumplimientos pueden sancionarse con multas. Después sigue la implantación gradual de las medidas. Si ya opera un SGSI conforme a la ISO 27001, tiene buena parte hecha y completa sobre todo el registro, los canales de notificación y el papel de la dirección.
En Sightadel, las medidas del § 30 están estructuradas en controles, la cadena de notificación está disponible como plantilla y los acuerdos y formaciones de la dirección los registra como evidencia. Más información en la página sobre NIS2. Pruébelo usted mismo: Pruébelo gratis 14 días. Para la valoración jurídica de su caso concreto, consulte a su asesoría jurídica.
Revisado a: 7 de octubre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
