Implantar NIS2.

La ley alemana de transposición de NIS2 y refuerzo de la ciberseguridad (NIS2UmsuCG) incorpora la Directiva (UE) 2022/2555 al derecho alemán. Entró en vigor el 06.12.2025, sin período transitorio para las medidas de gestión de riesgos. Las obligaciones figuran en la nueva redacción de la ley del BSI. El § 28 BSIG determina qué entidades son especialmente importantes o importantes según el sector, el tamaño de la empresa y algunos casos especiales.

La obligación central figura en el § 30 Abs. 1 BSIG: medidas técnicas y organizativas adecuadas, proporcionadas y eficaces que eviten perturbaciones de la disponibilidad, integridad y confidencialidad de los sistemas utilizados para prestar los servicios y reduzcan los efectos de los incidentes de seguridad. El § 30 Abs. 2 BSIG enumera diez medidas mínimas. Para proveedores de servicios digitales, como servicios en la nube, centros de datos y servicios gestionados, prevalecen las disposiciones técnicas del Reglamento de Ejecución (UE) 2024/2690. Los operadores de instalaciones críticas tienen obligaciones adicionales conforme a los § 31 y § 39 BSIG.

El § 38 Abs. 1 BSIG obliga a la dirección a implantar las medidas y supervisar su aplicación. Si incumple esta obligación, responde frente a su propia entidad por los daños causados de forma culpable, conforme al § 38 Abs. 2 BSIG y a las reglas del derecho societario aplicable (responsabilidad interna). Además, el § 38 Abs. 3 BSIG exige que sus miembros participen periódicamente en formación. También se aplican la obligación de registro del § 33 BSIG y las obligaciones de notificación del § 32 BSIG.

Las infracciones de los § 30 y § 32 BSIG, incluida la falta de documentación según el § 30 Abs. 1 Satz 3 BSIG, se sancionan con multas conforme al § 65 BSIG. El límite máximo es de 10 millones de euros para entidades especialmente importantes y de 7 millones para entidades importantes. Si la empresa supera los 500 millones de euros de volumen de negocios mundial total, el límite se calcula sobre el volumen de negocios: hasta el 2 % para entidades especialmente importantes y hasta el 1,4 % para entidades importantes. A partir de ese volumen de negocios, este importe siempre es el mayor.

En Alemania, las empresas sujetas a NIS2 se clasifican conforme al § 28 BSIG: son decisivos el tipo concreto de entidad, el tamaño de la empresa y las reglas especiales de inclusión. Los anexos 1 y 2 enumeran las actividades comprendidas. Por ello, una denominación sectorial por sí sola no resuelve la cuestión, como tampoco lo hace el número de empleados sin examinar la actividad.

El análisis de aplicabilidad considera la entidad jurídica individual y sus servicios. Según el § 28 Abs. 4 BSIG, también deben tenerse en cuenta las empresas asociadas y vinculadas; la disposición contempla una excepción para las empresas independientes desde el punto de vista informático. Deben examinarse las reglas sectoriales especiales del § 28 Abs. 5 y 6 BSIG. El BSI recomienda documentar la decisión y sus fundamentos incluso cuando se concluya que la normativa no resulta aplicable.

La BSIG combina la obligación de documentación con potestades de supervisión administrativa. El § 61 BSIG se refiere a las entidades especialmente importantes; el § 62 BSIG permite examinar las entidades importantes cuando existan indicios pertinentes. Un certificado voluntario puede respaldar la documentación, pero, según la interpretación del BSI, no sustituye la acreditación de todas las obligaciones legales. Sigue siendo decisivo qué entidad, servicios y medidas cubre realmente cada evidencia.

ISO 27001 e IT-Grundschutz pueden apoyar la organización de la seguridad de la información; el BSI describe la certificación ISO como una base útil para aplicar la BSIG. El registro, los canales legales de notificación y las obligaciones de la dirección deben analizarse por separado. Para las entidades financieras sujetas a DORA, deben examinarse las excepciones del § 28 Abs. 6 BSIG.

Una medida implantada pero no documentada no puede acreditarse ante el BSI. Por ello, el § 30 Abs. 1 Satz 3 BSIG convierte la documentación en una obligación propia. Según su paquete informativo sobre la obligación de documentación, el BSI espera que las decisiones a favor y en contra de las medidas se registren con su justificación, puedan derivarse del análisis de riesgos y permitan ver cómo ha supervisado la dirección su implantación.

Para las entidades especialmente importantes, el BSI puede ordenar auditorías, inspecciones o certificaciones y solicitar evidencias conforme al § 61 BSIG; según el § 61 Abs. 3 BSIG, como pronto tres años después de la entrada en vigor. Para las entidades importantes, examina el cumplimiento conforme al § 62 BSIG cuando existan hechos que indiquen una infracción. Todavía no se ha definido cómo examinará el BSI las evidencias en detalle. Lo seguro es que aquello que deba presentarse en una inspección tiene que haberse generado antes.

La implantación puede acreditarse cuando se conectan tres elementos: el requisito legal, la medida con la que se cumple y la evidencia que demuestra su aplicación, cada uno con responsables y fecha.

Una certificación ISO/IEC 27001 constituye una buena base para ello, pero, según el BSI, no acredita la conformidad con NIS2. El alcance, el tratamiento de riesgos, las obligaciones de notificación y las de la dirección pueden diferir y deben examinarse por separado.

Si todavía no ha aclarado si su entidad está comprendida en el § 28 BSIG, empiece por la comprobación gratuita de aplicabilidad. Documente el resultado y su justificación. En su paquete informativo sobre la obligación de documentación, el BSI recomienda documentar el análisis incluso si el resultado es negativo y puede solicitar esta documentación conforme al § 33 Abs. 4 BSIG.

Si la normativa le resulta aplicable y ya está registrado, empiece por la medida 1. Las diez medidas constituyen el contenido mínimo; el análisis de riesgos determina con qué profundidad debe aplicar cada una. En pocos minutos, la comprobación de implantación le muestra cuánto ha avanzado en cada una de las diez medidas y dónde quedan carencias.