La nueva obligación de seguridad de TI para las empresas alemanas
Si has buscado 'IT Sicherheitspflicht', lo que buscas es NIS2. Desde diciembre de 2025, el BSIG revisado convierte la ciberseguridad en una obligación legal para unas 29.500 empresas alemanas.
NIS2 es la obligación de seguridad de TI de la que has oído hablar
No existe una 'ley autónoma de obligación de seguridad de TI' en Alemania. Lo que existe es la Directiva NIS2 (UE 2022/2555), transpuesta a la legislación alemana a través del NIS2UmsuCG, que reformó por completo la Ley federal de ciberseguridad (BSIG). Esta es la ley que crea obligaciones vinculantes de seguridad de TI para las empresas de los sectores enumerados en los Anexos 1 y 2 del BSIG.
El BSIG entró en vigor el 6 de diciembre de 2025. Exige a las empresas afectadas implementar 10 medidas específicas de gestión de riesgos de ciberseguridad (Sección 30 BSIG), registrarse ante el BSI, notificar los incidentes significativos dentro de plazos estrictos y asegurar sus cadenas de suministro. Conforme a la Sección 38 BSIG, la dirección debe implementar y supervisar las medidas y responde ante la empresa de los daños que cause por culpa.
Si tu empresa tiene 50 o más empleados, o supera los 10 millones de euros tanto de facturación anual como de balance, y opera en uno de los sectores enumerados en los Anexos 1 y 2 del BSIG, estas obligaciones te aplican ahora mismo. El plazo de registro fue el 6 de marzo de 2026.
Sector
Tu empresa ofrece bienes o servicios a cambio de un pago en uno de los sectores enumerados en los Anexos 1 y 2 del BSIG: energía, transporte, finanzas, salud, agua, infraestructura digital (incluidos los servicios gestionados de TIC y de seguridad), espacio, servicios postales y de mensajería, residuos, productos químicos, alimentos, fabricación, servicios digitales, investigación.
Número de empleados
Tienes 50 o más empleados. Esto sigue la definición de PYME de la UE e incluye a todos los empleados del grupo, no solo a la entidad alemana. Excepción: las empresas asociadas o vinculadas no se suman si tu TI funciona de forma independiente de la suya (§ 28 Abs. 4 BSIG). Los empleados a tiempo parcial cuentan proporcionalmente.
Facturación anual
Tu facturación anual supera los 10 millones de euros Y tu balance total supera los 10 millones de euros. Si superas o bien el umbral de empleados O BIEN el umbral financiero, estás dentro del ámbito.
Servicios críticos
Algunos están dentro del ámbito con independencia de su tamaño: operadores de instalaciones críticas (KRITIS), prestadores de servicios de confianza, registros de nombres de TLD y proveedores de servicios de DNS (§ 28 BSIG).
Registrarse ante el BSI
Regístrate en dos pasos: primero crea una cuenta en Mein Unternehmenskonto (mein-unternehmenskonto.de, usa un certificado de organización ELSTER) y después regístrate en el portal del BSI (portal.bsi.bund.de). Es una obligación legal en virtud de la Sección 33 BSIG con su propia sanción de hasta 500.000 euros. El portal está activo desde enero de 2026, y el plazo fue el 6 de marzo de 2026. Si lo incumpliste, regístrate de inmediato.
Realizar una evaluación de riesgos
Identifica tus activos de TI críticos, evalúa los riesgos de cada uno y documenta las decisiones de tratamiento. La Sección 30 BSIG exige medidas de gestión de riesgos proporcionadas a la exposición al riesgo. Necesitas un inventario de activos y una evaluación de riesgos estructurada antes de poder implementar las medidas.
Implementar 10 medidas de seguridad
La Sección 30(2) BSIG nombra 10 ámbitos: 1 análisis de riesgos y políticas de seguridad; 2 gestión de incidentes; 3 continuidad de la actividad (copias de seguridad, recuperación, gestión de crisis); 4 seguridad de la cadena de suministro; 5 seguridad en la adquisición, el desarrollo y el mantenimiento de TI, incluida la gestión de vulnerabilidades; 6 comprobación de si las medidas funcionan; 7 formación básica y concienciación; 8 criptografía; 9 seguridad del personal, control de acceso y gestión de activos; 10 autenticación multifactor y comunicación protegida. Cada ámbito requiere políticas documentadas y evidencia de implementación.
Configurar la notificación de incidentes
Los incidentes de ciberseguridad significativos deben notificarse al BSI dentro de las 24 horas (alerta temprana inicial), 72 horas (notificación completa) y 1 mes (informe final). Define qué significa un incidente significativo para tu empresa y establece una cadena de notificación clara antes de que ocurra algo.
Mantener el cumplimiento continuo
NIS2 no es un proyecto puntual. Mantén actualizada la evaluación de riesgos cuando las cosas cambien, forma a la dirección con regularidad (la Sección 38 BSIG exige participación personal; la exposición de motivos de la ley entiende 'con regularidad' como al menos cada tres años), revisa a los proveedores y sigue monitorizando los incidentes.
Las entidades esenciales se enfrentan a multas de hasta 10 millones de euros o el 2% de la facturación anual mundial. Las entidades importantes se enfrentan a hasta 7 millones de euros o el 1,4%. Las infracciones de registro por sí solas conllevan multas de hasta 500.000 euros. El BSI puede ordenar el cumplimiento (§§ 61, 62 BSIG). Para las entidades particularmente importantes que ignoren sus órdenes, la autoridad sectorial competente puede, como último recurso, suspender temporalmente una licencia e inhabilitar temporalmente a directivos no fiables (§ 61 Abs. 9 BSIG).
Más allá de las multas, la Sección 38 BSIG crea responsabilidad personal para la dirección. Los directivos deben implementar las medidas de ciberseguridad, supervisar su implementación y asistir periódicamente a formación. Responden ante su propia empresa por los daños causados por culpa, conforme a las normas de Derecho societario de su forma jurídica.
Preguntas frecuentes
¿Es NIS2 lo mismo que la obligación de seguridad de TI de la que oigo hablar?
Sí. No existe una ley separada de 'IT Sicherheitspflicht'. NIS2 es la directiva de la UE que se transpuso a la legislación alemana como el BSIG revisado a través del NIS2UmsuCG. Cuando se habla de nuevas obligaciones de seguridad de TI para las empresas alemanas, se refieren a esta ley. Está en vigor desde el 6 de diciembre de 2025.
Somos una empresa de fabricación de 60 personas. ¿Esto realmente nos aplica?
Muy probablemente sí. La fabricación figura en el Anexo II de NIS2 (que abarca la fabricación de productos sanitarios, electrónica, equipos eléctricos, maquinaria, vehículos de motor y otros equipos de transporte). Con 60 empleados, superas el umbral de 50 empleados. Te clasificarías como 'entidad importante' en virtud de la Sección 28(2) BSIG, y te aplican todas las obligaciones de NIS2.
El plazo de registro ya ha pasado. ¿Qué debemos hacer?
Registraos de inmediato. Primero cread una cuenta en Mein Unternehmenskonto (mein-unternehmenskonto.de) y después registraos en el portal del BSI (portal.bsi.bund.de), que sigue aceptando registros. Un registro tardío es mejor que ningún registro. La multa por no registrarse es de hasta 500.000 euros (§ 65 BSIG).
¿Puede nuestro proveedor externo de TI encargarse del cumplimiento de NIS2 por nosotros?
Pueden ayudar a implementar las medidas técnicas, pero la obligación legal sigue siendo de tu empresa, incluso si tu TI está totalmente externalizada. El BSI lo dice en sus preguntas frecuentes sobre NIS-2: debes asegurarte de que tus proveedores implementen las medidas, comprobarlas con regularidad y velar por que se notifiquen los incidentes. Tu dirección sigue siendo responsable en virtud de la Sección 38 BSIG de implementar y supervisar las medidas. Tienes que documentar lo que hace tu proveedor de TI, verificar sus medidas de seguridad e incluirlo en tu proceso de gestión de proveedores.
¿Cuánto cuesta el cumplimiento de NIS2 para una empresa del mid-market?
Depende de lo que ya tengas. La ley pide medidas acordes con tu tamaño y tu riesgo, y el coste de implementarlas es uno de los factores que se ponderan (§ 30 Abs. 1 BSIG).
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
