El periodo de gracia de NIS2 llega a su fin. Según informaciones de prensa de principios de octubre de 2026, la Oficina Federal de Seguridad de la Información (BSI) quiere lanzar todavía en el cuarto trimestre de 2026 una iniciativa para hacer cumplir la obligación de registro. Además, a partir del primer trimestre de 2027 se obligará a determinadas entidades a someter a inspección su seguridad TI y a presentar evidencias. Afectará en primer lugar a las empresas que claramente están sujetas a la ley, pero que aún no se han registrado ante la BSI.
Qué ha anunciado la BSI
Los datos proceden de un informe del Tagesspiegel recogido por medios especializados. Hasta el cierre de esta edición, la BSI no había publicado ningún comunicado de prensa propio al respecto. Según estas informaciones, la BSI prevé dos pasos:
| Periodo | Medida |
|---|---|
| Cuarto trimestre de 2026 | Contacto directo con las empresas que deberían haberse registrado |
| A partir del primer trimestre de 2027 | Inspecciones ordenadas a entidades concretas, cada una con un enfoque temático |
Según las informaciones, la BSI quiere empezar por las entidades especialmente importantes de los sectores en los que ve la mayor necesidad de actuación. Al principio no habrá una multa, sino una audiencia. No obstante, puede seguir un procedimiento sancionador.
Por qué precisamente ahora
El plazo legal de registro conforme al § 33 BSIG finalizó para la mayoría de las empresas el 6 de marzo de 2026. Posteriormente, la BSI hizo un llamamiento para registrarse con retraso hasta finales de julio de 2026. Según los datos citados en las informaciones, a finales de septiembre de 2026 había unos 20.000 registros, incluidas las sucursales. La propia BSI calcula que hay cerca de 30.000 entidades afectadas. Por tanto, sigue faltando una parte considerable.
Nuestro artículo NIS2 en Alemania: qué hacer ahora tras su entrada en vigor ofrece una visión general de todas las obligaciones.
Qué permite la ley a la BSI
Los pasos anunciados se basan en competencias que la Ley de la BSI prevé desde diciembre de 2025. Resumidas con nuestras propias palabras:
- Ordenar inspecciones (§ 61, apartado 1, BSIG). La BSI puede ordenar a entidades especialmente importantes concretas que organismos independientes realicen auditorías, inspecciones o certificaciones. Se verifica si se cumplen las medidas del § 30, las obligaciones de notificación del § 32 y las obligaciones de la dirección. Para ello no rige ningún plazo de espera.
- Evidencias periódicas (§ 61, apartado 3, BSIG). La BSI solo puede exigir evidencias con carácter general tres años después de la entrada en vigor de la ley, es decir, a partir de diciembre de 2028. Para los hospitales autorizados rige un plazo más largo. Esto no contradice las inspecciones a partir de 2027: estas son órdenes específicas en casos concretos.
- Entidades importantes (§ 62 BSIG). En este caso, la BSI solo actúa si hay hechos que indiquen que las obligaciones no se cumplen o no se cumplen correctamente. Un motivo así puede ser, por ejemplo, un incidente notificado.
- Multas (§ 65 BSIG). Los datos de registro omitidos, incorrectos o tardíos constituyen una infracción administrativa para la que la ley prevé una multa de hasta 500.000 euros. Para las infracciones de las medidas de seguridad y de las obligaciones de notificación, los límites máximos son considerablemente más altos.
Lo determinante es el texto legal publicado en gesetze-im-internet.de. Cómo utilizará la BSI sus competencias en detalle solo se verá en la práctica.
Quién estará primero en el punto de mira
Según los datos disponibles, la BSI se centra en dos grupos. En primer lugar, las empresas que claramente están sujetas a NIS2, pero que no se han registrado. En segundo lugar, las entidades especialmente importantes de sectores de alto riesgo. Quien opere en ellos debería contar con que las inspecciones no empezarán en 2028.
Las entidades importantes no están libres de riesgo. Un incidente de seguridad grave o indicios de terceros pueden bastar para que la BSI pida información. Entonces lo que cuenta es si usted puede acreditar sus medidas.
Cómo podría ser una inspección ordenada
La ley deja margen a la BSI. Puede establecer los requisitos que deben cumplir los organismos inspectores y exigir los resultados de la inspección, las deficiencias detectadas y un plan para subsanarlas. Según las informaciones, cada inspección tendrá un enfoque temático. Aún no se sabe qué temas serán. Lo lógico serían las áreas clave del § 30: análisis de riesgos, gestión de incidentes de seguridad, cadena de suministro, protección de accesos y planificación de emergencias.
Un certificado ISO/IEC 27001 existente no sustituye automáticamente una inspección de este tipo. Pero ayuda, porque muchas evidencias ya existen y han sido revisadas. Asegúrese de que el alcance cubra los servicios y ubicaciones relevantes para NIS2.
Qué significa esto para usted
- Revisar el registro. Si está sujeto a NIS2 y aún no se ha registrado, hágalo de inmediato a través del portal de la BSI. Registrarse con retraso antes de una audiencia es una mejor posición de partida. Compruebe también si los datos que notificó siguen siendo correctos.
- Documentar la clasificación. Documente por qué es usted una entidad especialmente importante, una entidad importante o ninguna de ellas. Necesitará esta justificación si la BSI pide información.
- Ordenar las evidencias. Determine para cada área del § 30 qué política, qué proceso y qué evidencia le corresponden. Quien lo organice ahora podrá responder a una orden dentro del plazo fijado.
- Implicar a la dirección. La dirección debe aprobar las medidas, supervisar su aplicación y recibir formación periódica. Deje constancia por escrito de los acuerdos y las formaciones.
En la página sobre NIS2 verá cómo Sightadel refleja los requisitos de la BSIG control por control y archiva las evidencias por medida. Si ya trabaja conforme a ISO/IEC 27001, en la página sobre ISO/IEC 27001 encontrará la relación entre ambos marcos. Puede probar Sightadel gratis durante 14 días sin datos de pago.
Revisado a: 9 de octubre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
