NIS2 en Alemania: qué exige la Ley del BSI y desde cuándo
Alemania transpuso NIS2 con la NIS2UmsuCG. Los deberes están en la nueva Ley del BSI (BSIG) y se aplican desde el 6 de diciembre de 2025. Las empresas afectadas se registran ante el BSI, toman medidas de seguridad y notifican los incidentes significativos. Su dirección implementa las medidas y las supervisa.
La ley
La Ley de transposición de NIS 2 y de refuerzo de la ciberseguridad (NIS2UmsuCG) reescribió la Ley del BSI. Entró en vigor el 6 de diciembre de 2025.
Los deberes se aplican desde ese día. Solo las pruebas ante el BSI tienen fechas posteriores.
La autoridad competente es la Oficina Federal de Seguridad de la Información (BSI).
BGBl. 2025 I n.º 301
Las fechas clave
27 de diciembre de 2022
La Directiva (UE) 2022/2555 se publica en el Diario Oficial de la UE.
16 de enero de 2023
La directiva entra en vigor.
17 de octubre de 2024
Plazo de la UE para la transposición. Alemania no lo cumplió.
6 de diciembre de 2025
Entra en vigor el nuevo BSIG. Los deberes se aplican de inmediato.
Enero de 2026
El BSI abre su portal para el registro.
6 de marzo de 2026
Plazo de registro para las empresas afectadas desde diciembre de 2025.
6 de diciembre de 2028
Como pronto desde entonces, el BSI puede pedir pruebas a las entidades esenciales.
Quién está afectado
Una empresa está afectada si trabaja en un sector del Anexo 1 o 2 del BSIG y tiene el tamaño suficiente.
Una empresa así es entidad importante si tiene al menos 50 empleados, o una facturación anual y un balance de más de 10 millones de euros cada uno.
Una empresa de un sector del Anexo 1 es entidad esencial si tiene al menos 250 empleados, o más de 50 millones de euros de facturación y más de 43 millones de euros de balance. También son entidades esenciales los operadores de instalaciones críticas y algunos proveedores con independencia de su tamaño, como los prestadores cualificados de servicios de confianza.
La directiva de la UE dice «entidad esencial»; el BSIG, «besonders wichtige Einrichtung» (entidad especialmente importante). Ambos términos designan al mismo grupo.
El BSI ofrece una comprobación de ámbito. Según el BSI, su resultado no es jurídicamente vinculante.
§ 28 BSIG · Anexos 1 y 2
Los cuatro deberes
Registrarse ante el BSI
Como muy tarde tres meses después de que su empresa quede afectada, a través del portal del BSI. Si algo cambia, lo actualiza en dos semanas.
§ 33 BSIG
Más sobre estoTomar medidas de seguridad
Medidas en diez ámbitos, desde el plan de respuesta a incidentes hasta el segundo factor, con la profundidad que exijan el tamaño y el riesgo de su empresa. Usted deja por escrito lo que aplica.
§ 30 BSIG
Más sobre estoNotificar los incidentes significativos
En tres fases a la oficina conjunta de notificación del BSI y de la Oficina Federal de Protección Civil y Asistencia en Catástrofes, la primera en 24 horas.
§ 32 BSIG
Más sobre estoLa dirección
Implementa las medidas, supervisa su implementación y participa periódicamente en formaciones.
§ 38 BSIG
Más sobre estoCómo comprueba el BSI
El BSI puede inspeccionar a las entidades esenciales, también con ayuda de terceros, y ordenar auditorías. Puede pedir pruebas como pronto a partir del 6 de diciembre de 2028.
A las entidades importantes solo las inspecciona si hay hechos que indiquen que no cumplen el § 30, el § 32 o el § 38(3) BSIG.
Las multas se regulan en el § 65 BSIG. Por infringir las medidas y la obligación de notificar, el límite es de 10 millones de euros para las entidades esenciales y de 7 millones de euros para las importantes.
§§ 61, 62, 65 BSIG
Las multas en detalleQué significa esto para una empresa de 50 a 150 empleados
En un sector del Anexo 1 o 2, una empresa así suele ser entidad importante.
Los cuatro deberes son los mismos para las entidades importantes y las esenciales. La supervisión es distinta: el BSI solo inspecciona a las entidades importantes cuando hay indicios de un incumplimiento.
La profundidad de cada medida depende del riesgo, del tamaño y del coste. Una empresa de 80 empleados no tiene que construir lo que necesita un gran grupo.
§ 30(1), segunda frase, BSIG
Un ejemplo
Una empresa inventada: una empresa de gestión de residuos con 75 empleados.
La gestión de residuos figura en el Anexo 2 del BSIG. Con 75 empleados, la empresa es entidad importante.
Ya tiene un certificado de organización de ELSTER para los impuestos. Con él inicia sesión en el portal del BSI y se registra.
Anota con qué trabaja: planificación de rutas, básculas, facturación, localización de vehículos. De ahí se derivan las medidas.
El plan de respuesta a incidentes dice quién notifica un incidente. El gerente participa en una formación y aprueba los documentos.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu le lleva paso a paso por los deberes del BSIG.
20 pasos. Los operadores de instalaciones críticas tienen uno más.
Junto a cada paso está la norma, explicada con palabras sencillas.
El registro, las medidas, la notificación y la formación de la dirección son pasos propios.
Con sus respuestas se generan seis documentos, entre ellos la política de seguridad y los dos planes de emergencia.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta. Después, su nombre y la fecha aparecen en cada documento.
Preguntas frecuentes
¿Desde cuándo se aplica NIS2 en Alemania?
Desde el 6 de diciembre de 2025. Ese día entró en vigor la nueva Ley del BSI.
¿Cómo se llama la ley alemana de NIS2?
Ley de transposición de NIS 2 y de refuerzo de la ciberseguridad, abreviada NIS2UmsuCG. Sobre todo, reescribió la Ley del BSI (BSIG). Allí están los deberes de las empresas, por ejemplo en los §§ 30, 32, 33 y 38.
¿Tiene que registrarse ante el BSI toda empresa afectada?
Sí, toda entidad esencial y toda entidad importante, como muy tarde tres meses después de quedar afectada (§ 33(1) BSIG). El deber se aplica sin que el BSI se lo pida.
¿Quién comprueba la implementación?
El BSI. Puede inspeccionar a las entidades esenciales; a las importantes, solo cuando hay indicios de un incumplimiento (§§ 61 y 62 BSIG).
Fuentes
- Ley del BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 y Anexos 1 y 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n.º 301
- Directiva (UE) 2022/2555 (NIS 2), arts. 41 y 45, EUR-Lex
- BSI: comprobación de ámbito NIS 2, betroffenheitspruefung-nis-2.bsi.de
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
