NIS2: Tysklands respitperiod går mot sitt slut

Respitperioden löper ut den 31 juli 2026

Tysklands lag om genomförande av NIS2 – NIS2UmsuCG – har gällt sedan december 2025, utan någon övergångsperiod. Berörda verksamhetsutövare var tvungna att registrera sig hos BSI, Tysklands federala myndighet för cybersäkerhet, inom tre månader; den fristen löpte ut den 6 mars 2026. Resultatet var nedslående: av uppskattningsvis 29 500 berörda företag i Tyskland hade endast omkring 11 500 registrerat sig när fristen gick ut.

BSI har sedan dess gjort klart att myndigheten förväntar sig att utestående registreringar görs senast den 31 juli 2026. Respitperioden är en möjlighet, inget frikort: registreringsskyldigheten har funnits sedan mars, och enbart en överträdelse av den kan ge böter på upp till 500 000 euro.

• Lagen gäller sedan december 2025, registreringsfristen löpte ut den 6 mars 2026
• Bara ungefär en tredjedel av de berörda företagen registrerade sig i tid
• BSI förväntar sig att eftersläntrarna registrerar sig senast den 31 juli 2026

Vilka som berörs – och hur ni tar reda på det

NIS2 skiljer mellan särskilt viktiga och viktiga verksamhetsutövare inom 18 sektorer – från energi, transporter och hälso- och sjukvård till digital infrastruktur och tillverkning. Som tumregel kan företag inom dessa sektorer med 50 eller fler anställda eller mer än 10 miljoner euro i årsomsättning och balansomslutning omfattas; vissa verksamhetsutövare omfattas oavsett storlek. För internationella koncerner är det värt att notera att ett tyskt dotterbolag kan omfattas även om moderbolaget regleras i ett annat land.

Förlita er inte på tumregler. BSI tillhandahåller en officiell NIS-2-omfattningskontroll (Betroffenheitsprüfung) som gör det möjligt att fastställa och dokumentera er klassificering på ett strukturerat sätt. Bedömningen är ett ledningsansvar – även en dokumenterad slutsats om att ni ”inte omfattas” bör bevaras tillsammans med sin motivering.

Så går registreringen till

Registreringen görs via BSI:s rapporteringsportal, MUK-portalen. Autentiseringen kräver ett ELSTER-organisationscertifikat – inloggningsuppgiften från den tyska skatteförvaltningen. Om er organisation inte har något, ansök omedelbart: utfärdandet tar normalt flera dagar och blir en flaskhals strax före tidsfrister.

För själva registreringen bör grunddata finnas till hands: verksamhetsutövare och sektor, kontaktuppgifter till en nåbar kontaktperson, IP-adressintervall och de medlemsstater där tjänster tillhandahålls. Med goda förberedelser går processen snabbt.

Efter registreringen börjar det verkliga arbetet

Lagen kräver att berörda verksamhetsutövare upprätthåller ett gediget paket av riskhanteringsåtgärder: från riskanalys och incidenthantering till säkerhetskopiering, krishantering och säkerhet i leveranskedjan. Till detta kommer stegvisa rapporteringsskyldigheter för betydande incidenter – en första rapport inom 24 timmar, en uppföljning inom 72 timmar och en slutrapport efter en månad – samt personliga skyldigheter för ledningen, som måste godkänna och övervaka åtgärderna och genomgå utbildning.

Vid överträdelser av dessa skyldigheter går sanktionsavgifterna långt utöver påföljden för bristande registrering: upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen för särskilt viktiga verksamhetsutövare och upp till 7 miljoner euro eller 1,4 procent för viktiga verksamhetsutövare.

• Riskhantering i linje med senaste tekniken, inklusive leveranskedjan
• Rapporteringsprocesser som faktiskt klarar tidsfrister på 24 timmar
• Påvisbar styrning: ansvaret ligger hos ledningen

Från tidsfrist till struktur

Brytpunkten i juli är ett bra tillfälle att behandla NIS2 inte som en blankett att fylla i utan som en strukturell uppgift: krav, åtgärder, ägare och underlag hör ihop permanent – inte i utspridda kalkylark som sorteras om inför varje revision.

Det är precis därför vi bygger Secani: en arbetsyta där krav från ramverk som NIS2 eller IT-Grundschutz++ finns tillgängliga i strukturerad form och där implementering och underlag dokumenteras spårbart. Om ni vill använda respitperioden till mer än själva registreringen, prata med oss.