5 Min. de lectura<\/p>\n
El plazo legal de registro de la NIS-2 ante el BSI expir\u00f3 el pasado 6 de marzo de 2026, y hasta principios de abril solo aproximadamente la mitad de los obligados figuraba en el registro. Seg\u00fan informes especializados, quienes est\u00e9n afectados y a\u00fan no se hayan registrado solo disponen hasta finales de julio de una tolerancia administrativa para subsanar el tr\u00e1mite. La responsabilidad recae en la direcci\u00f3n de la empresa.<\/strong><\/p>\n Lo m\u00e1s importante en resumen<\/p>\n Relacionado:<\/span>La supervisi\u00f3n de la IA en Alemania ya tiene direcci\u00f3n<\/a> \/<\/span> Paralizaci\u00f3n administrativa de un modelo de IA: la lecci\u00f3n para las pymes<\/a><\/p>\n El 6 de diciembre de 2025 entr\u00f3 en vigor la Ley de Implementaci\u00f3n de NIS-2. Desde entonces, la obligaci\u00f3n de registro para entidades importantes y especialmente importantes se rige por la ley BSI revisada (BSIG). Para las entidades afectadas desde la entrada en vigor, el plazo legal de tres meses finaliz\u00f3 el 6 de marzo de 2026.<\/p>\n El BSI lo deja claro: el plazo legal de registro ha expirado. Quienes est\u00e9n afectados y no se hayan registrado deben hacerlo de inmediato en el portal del BSI. No existe una pr\u00f3rroga legal del plazo. Informes especializados y una carta de asociaciones evaluada por Heise Online describen una tolerancia administrativa para notificaciones posteriores hasta el 31 de julio de 2026: el BSI espera que los registros pendientes se completen para esa fecha. Jur\u00eddicamente, la obligaci\u00f3n sigue vigente desde el 6 de marzo -la flexibilidad no altera la infracci\u00f3n sancionable-.<\/p>\n Para los directivos de pymes, el calendario pr\u00e1ctico es clave: el registro deber\u00eda estar completado antes de finales de julio de 2026. A partir de entonces, aumenta notablemente el riesgo de supervisi\u00f3n efectiva. El expediente ya figura como \u00abobligaci\u00f3n incumplida\u00bb desde que se determina la condici\u00f3n de entidad afectada.<\/p>\n La brecha es evidente. De las aproximadamente 29.500 entidades que el BSI considera dentro del \u00e1mbito regulado, solo 15.477 se hab\u00edan registrado en el portal hasta el 2 de abril de 2026 -de las cuales 9.894 eran entidades importantes y 5.583, especialmente importantes-. Heise inform\u00f3, citando al BSI, que a finales de mayo se hab\u00edan alcanzado casi 18.500 registros. Aun as\u00ed, sigue faltando una parte considerable. La pr\u00f3xima actualizaci\u00f3n oficial de estad\u00edsticas est\u00e1 prevista por el BSI para el 31 de julio de 2026.<\/p>\n \u00bfQu\u00e9 es NIS-2?<\/strong> NIS-2 es una directiva de la UE sobre ciberseguridad que Alemania ha transpuesto al derecho nacional mediante la Ley de Implementaci\u00f3n de NIS-2. Obliga a las empresas de determinados sectores, a partir de un tama\u00f1o establecido, a registrarse en el BSI, gestionar riesgos y notificar incidentes graves de seguridad. La responsabilidad recae expresamente en la direcci\u00f3n de la empresa.<\/p>\n Quien espere a que el BSI llame por iniciativa propia, no comprende el sistema: es la propia empresa la que debe comprobar si est\u00e1 afectada. La BSIG abarca instalaciones importantes y especialmente importantes en los sectores de los anexos 1 y 2 -desde energ\u00eda y transporte hasta sanidad y servicios digitales, pasando por la industria manufacturera-. Lo decisivo suelen ser tanto el tama\u00f1o como el sector. Las instalaciones especialmente importantes incluyen, entre otros, a los operadores de infraestructuras cr\u00edticas y a las grandes empresas en sectores de alto riesgo. Los servicios de dominios y DNS pueden verse afectados independientemente del tama\u00f1o de la empresa.<\/p>\n Fuente: Umbrales de tama\u00f1o seg\u00fan \u00a7 28 apartado 1 n\u00famero 4 y apartado 2 n\u00famero 3 BSIG; obligaci\u00f3n de registro seg\u00fan \u00a7 33 BSIG. Para operadores KRITIS, servicios de confianza, registros TLD y proveedores DNS no se aplican los umbrales -est\u00e1n incluidos independientemente del tama\u00f1o (\u00a7 28 apartado 1 n\u00fameros 1 y 2). La comprobaci\u00f3n de afectaci\u00f3n en l\u00ednea del BSI no es vinculante -la clasificaci\u00f3n jur\u00eddica corresponde a la empresa.<\/p>\n<\/div>\n En la pr\u00e1ctica, a menudo basta con la comprobaci\u00f3n de afectaci\u00f3n en l\u00ednea gratuita del BSI como punto de partida. No es vinculante, pero ofrece una orientaci\u00f3n fiable en pocos minutos. Quien obtenga un \u00abs\u00ed\u00bb o un \u00abpoco claro\u00bb deber\u00eda preparar el registro y, en caso de duda, consultar a un asesor fiscal o a un despacho especializado -antes de que finalice el plazo de tolerancia.<\/p>\n El procedimiento es de dos fases y digital. Primer paso: acceso a trav\u00e9s de \u00abMi cuenta empresarial\u00bb (MUK) con certificado organizativo ELSTER. Muchas pymes ya disponen de este certificado para la administraci\u00f3n tributaria. Si falta, su solicitud es el cuello de botella y la raz\u00f3n por la que los registros suelen quedarse atascados.<\/p>\n Segundo paso: registro en el portal del BSI en portal.bsi.bund.de. Entre los datos a facilitar se encuentran el nombre y la forma jur\u00eddica, los datos de contacto, incluidos los rangos de IP p\u00fablicos, el sector o la rama de actividad, los Estados miembros de la UE donde se presta el servicio y las autoridades supervisoras competentes. Posteriormente, el portal tambi\u00e9n sirve como punto de notificaci\u00f3n para incidentes de seguridad significativos.<\/p>\n El registro en s\u00ed es gratuito. Los costes surgen internamente: tiempo de los departamentos de TI y de la direcci\u00f3n, clarificaci\u00f3n del sector y los umbrales, y, en su caso, auditor\u00eda externa. Si el MUK est\u00e1 disponible y se ha aclarado la afectaci\u00f3n, la mera notificaci\u00f3n en el portal suele llevar solo unas horas. Las medidas t\u00e9cnicas de protecci\u00f3n forman parte del paquete completo, pero para el registro bastan los datos maestros correctos y el acceso.<\/p>\n La omisi\u00f3n o el registro incorrecto constituyen una infracci\u00f3n administrativa. Seg\u00fan el \u00a7 65 apartado 2 n\u00famero 6 en relaci\u00f3n con el apartado 5 n\u00famero 5 de la BSIG, la multa puede ascender hasta 500.000 euros. Los marcos m\u00e1s elevados, de hasta 10 millones de euros (para instalaciones especialmente importantes) o 7 millones de euros (para instalaciones importantes), se aplican principalmente en caso de incumplimiento de las obligaciones de gesti\u00f3n de riesgos y notificaci\u00f3n. A partir de un volumen de negocios total superior a 500 millones de euros, entra en juego un l\u00edmite m\u00e1ximo vinculado a los ingresos.<\/p>\n La responsabilidad personal en la BSIG se refiere sobre todo a la responsabilidad interna de la direcci\u00f3n: seg\u00fan el \u00a7 38, los directivos deben implementar y supervisar las medidas de gesti\u00f3n de riesgos conforme al \u00a7 30. Si incumplen estas obligaciones de forma culpable, responden ante su propia entidad seg\u00fan las normas societarias de la forma jur\u00eddica correspondiente. Adem\u00e1s, el \u00a7 38 apartado 3 de la BSIG establece la obligaci\u00f3n de formar peri\u00f3dicamente a la direcci\u00f3n en materia de ciberriesgos. La cadena de obligaciones termina as\u00ed en el despacho del directivo y debe estar documentada all\u00ed.<\/p>\n Para el director gerente sin departamento jur\u00eddico, esto significa que el registro y la decisi\u00f3n sobre la afectaci\u00f3n deben constar en los archivos de la direcci\u00f3n. Sin una evaluaci\u00f3n trazable, falta la prueba de descargo. Si no se realiza el registro, el BSI puede registrar la entidad por s\u00ed mismo, de acuerdo con otras autoridades supervisoras, seg\u00fan el \u00a7 33 apartado 3, inici\u00e1ndose as\u00ed la supervisi\u00f3n desde fuera.<\/p>\n El plazo es ajustado: hasta el 31 de julio de 2026 finaliza el periodo de tolerancia descrito en los c\u00edrculos especializados. Un plan realista para una semana en una pyme ser\u00eda el siguiente:<\/p>\n Quien deje pasar el periodo de tolerancia sigue teniendo la obligaci\u00f3n y el riesgo de multa. Quien se registre ahora proporciona a la organizaci\u00f3n la base para los procesos de notificaci\u00f3n y supervisi\u00f3n. Para las pymes sin director de seguridad de la informaci\u00f3n (CISO), esta es la forma pragm\u00e1tica de empezar: primero figurar en el registro y luego desarrollar el contenido, todo documentado y respaldado por la direcci\u00f3n.<\/p>\n El plazo legal de registro finaliz\u00f3 el 6 de marzo de 2026 y no se ha prorrogado en el texto legal. Informes especializados describen una tolerancia administrativa para notificaciones posteriores hasta el 31 de julio de 2026. El BSI insta en sus p\u00e1ginas al registro inmediato. La obligaci\u00f3n seg\u00fan el \u00a7 33 BSIG sigue vigente.<\/p>\n<\/details>\n Para infracciones contra la obligaci\u00f3n de registro, el \u00a7 65 BSIG prev\u00e9, entre otras, sanciones de hasta 500.000 euros. Las cuant\u00edas m\u00e1ximas m\u00e1s elevadas (hasta 10 millones de euros o 7 millones de euros) afectan principalmente a otras obligaciones, como la gesti\u00f3n de riesgos y las notificaciones. Corresponde a la ejecuci\u00f3n del BSI decidir si y cu\u00e1ndo impone multas; la base legal est\u00e1 establecida.<\/p>\n<\/details>\n El \u00a7 38 BSIG vincula la responsabilidad personal interna principalmente a la obligaci\u00f3n de implementar y supervisar medidas de gesti\u00f3n de riesgos. El registro es una obligaci\u00f3n de la entidad y est\u00e1 sujeto a multas. Si falta, suele documentar un fallo organizativo, y la direcci\u00f3n debe poder dirigir y demostrar la implementaci\u00f3n global.<\/p>\n<\/details>\n El portal del BSI no cobra ninguna tasa por el registro NIS-2. El esfuerzo se genera internamente (MUK\/ELSTER, clarificaci\u00f3n de datos, posible auditor\u00eda externa). Quien deje la afectaci\u00f3n sin aclarar, arriesga un trabajo posterior m\u00e1s costoso y el riesgo de multa; la tasa del portal es, en este caso, el menor de los gastos.<\/p>\n<\/details>\n Es una herramienta no vinculante y un buen punto de partida. La evaluaci\u00f3n legal y la decisi\u00f3n de registro siguen siendo responsabilidad de la empresa. Guarde el resultado, la fecha y los datos empresariales utilizados; esto ayuda en la documentaci\u00f3n interna y frente a asesores.<\/p>\n<\/details>\n M\u00e1s del MBF Media Netzwerk<\/p>\n\n
El plazo ha expirado, la obligaci\u00f3n sigue vigente<\/h2>\n
\u00bfMe afecta esto? La comprobaci\u00f3n dura minutos<\/h2>\n
\n\n
\n \nPregunta<\/th>\n Qu\u00e9 debe comprobar<\/th>\n Pr\u00f3ximo paso<\/th>\n<\/tr>\n<\/thead>\n \n Sector<\/strong><\/td>\n \u00bfActividad en el anexo 1 o 2 de la BSIG?<\/td>\n Iniciar la comprobaci\u00f3n de afectaci\u00f3n del BSI<\/td>\n<\/tr>\n \n Tama\u00f1o<\/strong><\/td>\n Especialmente importante:<\/strong> a partir de 250 empleados o m\u00e1s de 50 millones de Euro de facturaci\u00f3n y m\u00e1s de 43 millones de Euro de balance (solo anexo 1).
Importante:<\/strong> a partir de 50 empleados o facturaci\u00f3n y balance superiores a 10 millones de Euro cada uno (anexos 1 y 2).<\/td>\nConsultar las cifras del \u00faltimo cierre<\/td>\n<\/tr>\n \n Casos especiales<\/strong><\/td>\n KRITIS, DNS, registro de dominios, servicios digitales<\/td>\n Evaluaci\u00f3n especializada o asesoramiento jur\u00eddico<\/td>\n<\/tr>\n \n Resultado \u00abs\u00ed\u00bb<\/strong><\/td>\n Obligaci\u00f3n de registro seg\u00fan \u00a7 33 BSIG<\/td>\n MUK + portal del BSI esta semana<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Registro en dos pasos – y lo que cuesta<\/h2>\n
Multa, responsabilidad, obligaci\u00f3n del directivo: lo que realmente se aplica<\/h2>\n
Lo que la direcci\u00f3n debe resolver esta semana<\/h2>\n
\n
Preguntas frecuentes<\/h2>\n
\u00bfSe ha prorrogado legalmente el plazo hasta el 31 de julio de 2026?<\/strong><\/summary>\n
\u00bfCu\u00e1l es la cuant\u00eda de la multa solo por la falta de registro?<\/strong><\/summary>\n
\u00bfResponde personalmente el director gerente si falta el registro?<\/strong><\/summary>\n
\u00bfCu\u00e1nto cuesta el registro en el BSI?<\/strong><\/summary>\n
\u00bfEs suficiente la prueba de afectaci\u00f3n del BSI como justificante?<\/strong><\/summary>\n
Recomendaciones de lectura de la redacci\u00f3n<\/h2>\n
\n