La responsabilidad organizacional según NIS2 entra en vigor a pesar del registro

Unos 11.000 empresas afectadas en Alemania siguen sin registro en el BSI a finales de mayo de 2026, y el plazo legal expiró el pasado 6 de marzo. Lo que circula como «plazo adicional» es, según la interpretación de los bufetes, una tolerancia administrativa hasta el 31 de julio de 2026: el BSI espera notificaciones posteriores, pero no modifica el plazo legal. Para la dirección de la empresa, el artículo 38 de la BSIG establece la prueba: gestión de riesgos aprobada, implementación supervisada y formación propia acreditada. Un simple clic en el portal no basta.

RelacionadoIA soberana: la responsabilidad sigue en casa  /  La IA escribe el código. ¿Quién responde?

El debate público gira en torno a los canales de notificación y los accesos al portal. Pero la pregunta más dura es otra: ¿qué se puede demostrar cuando un incidente, una inspección o una reclamación interna afecta a la dirección? Quien solo regulariza el registro y deja abierta la arquitectura probatoria, cambia un vacío visible por uno invisible.

La tolerancia no subsana el incumplimiento

La situación legal es más clara de lo que sugieren muchos titulares. El plazo legal de registro según la Ley BSI finalizó el 6 de marzo de 2026. El propio BSI afirma en su página informativa: el plazo legal ha expirado. Quienes estén afectados y aún no se hayan registrado deben hacerlo de inmediato.

Lo que sigue vigente hasta el 31 de julio de 2026, según la interpretación extendida en los bufetes de abogados, es una tolerancia administrativa -es decir, flexibilidad en la ejecución-. No se trata de una prórroga legal del plazo. En la carta dirigida a las asociaciones empresariales, sobre la que informó, entre otros, heise online, el BSI parte de la base de que todos los registros pendientes se completarán como muy tarde el 31 de julio de 2026. Se trata de una formulación de expectativas y priorización; la palabra «tolerancia» no aparece en el escrito del BSI. La página informativa del BSI mantiene en paralelo: el plazo legal ha expirado. Quien se registre ahora sigue estando formalmente en situación de incumplimiento -la flexibilidad en la ejecución no subsana retroactivamente la infracción-. Precisamente esta distinción separa la facilidad operativa de la reparación legal.

Las cifras explican por qué la autoridad actúa de este modo. De los aproximadamente 29.500 empresas afectadas en Alemania, solo unas 11.500 se habían registrado hasta la fecha límite legal. A finales de mayo, la cifra ascendía a unas 18.500. A finales de mayo de 2026, seguía existiendo una brecha de alrededor de 11.000 obligados. La flexibilidad en la ejecución es, por tanto, también un reconocimiento: la aplicación de la normativa se topa con una economía que ha subestimado el calendario.

Una infracción del registro sigue estando sujeta a multa. Según el § 65 BSIG, a la entidad pueden imponérsele hasta 500.000 euros. La multa recae sobre la entidad. La persona física de la dirección no es destinataria del tipo de infracción sancionable en este caso. Para los órganos, la responsabilidad interna según el § 38 apartado 2 BSIG tiene mayor peso: quien incumpla las obligaciones del apartado 1 responderá ante su propia entidad por los daños causados por negligencia -conforme a las normas societarias de la forma jurídica correspondiente-. El expediente de notificación protege precisamente en caso de reclamación. La multa sigue siendo un factor secundario. La posibilidad de reclamación determina el riesgo personal de la dirección.

Qué exige el § 38 BSIG a la dirección de la empresa

El § 38 BSIG vincula la responsabilidad directamente al nivel directivo. La dirección debe aprobar las medidas de gestión de riesgos, supervisar su implementación y formarse en ciberriesgos. La presidenta del BSI, Claudia Plattner, lo formula textualmente así: las direcciones están «obligadas a implementar las medidas de gestión de riesgos, supervisar su ejecución y formarse en cuestiones de evaluación y gestión de ciberriesgos». El trabajo operativo puede delegarse en el CISO, la dirección de TI o proveedores externos. La responsabilidad última, sin embargo, sigue en manos de la dirección.

La delegación no exime de responsabilidad. Quien nombra a un CISO y elimina el tema de la agenda no ha cumplido con su obligación. Sigue vigente el deber de aprobar y supervisar. Si falta el acto escrito de aprobación, los informes trimestrales a la dirección o los certificados de formación de los directivos, en caso de inspección se detectará una laguna, incluso si la tecnología en el centro de datos funciona correctamente.

El § 30, apartado 1, frase 3 del BSIG exige que la entidad documente el cumplimiento de su obligación de gestión de riesgos. Se trata de demostrar las medidas adoptadas en el marco de esta obligación. Quien, en caso de incidente, no pueda presentar documentación, se arriesga a sanciones independientemente de que, en la práctica, se hayan realizado muchas acciones «de alguna manera». Los informes prácticos de consultoría muestran un patrón recurrente: los controles técnicos suelen estar implementados. Lo que falta son actas de decisiones directivas, aprobaciones de conceptos de seguridad y registros de formación de la dirección.

Si la Business Judgement Rule (regla del juicio empresarial) protege en el contexto de NIS-2 es una cuestión jurídica aún no resuelta, pues falta jurisprudencia. Una interpretación habitual en los despachos de abogados distingue con claridad: la BJR ampara el margen de discrecionalidad empresarial, pero, según esta lectura, no cubre las obligaciones vinculantes del § 38 BSIG. Donde este artículo establece de forma imperativa la aprobación, supervisión y formación, no hay espacio para la discrecionalidad; la BJR simplemente no aplica. Así, las lagunas en formación y documentación siguen constituyendo incumplimientos independientes. Esto se aplica tanto al administrador único de una GmbH como a un órgano de dirección colegiado.

La lógica de la consultoría suele vender seminarios para directivos y hojas de ruta de herramientas. El punto débil es la demostrabilidad: quien abandona un taller sin acta de acuerdo ha asistido a un evento, pero no dispone de una cadena de pruebas. La realidad en la región DACH (Alemania, Austria y Suiza) agrava el problema: el comité de empresa y la protección de datos afectan al seguimiento y los formatos de formación. La codeterminación y el tratamiento de datos por encargo no bloquean el cumplimiento normativo, pero ambas exigen una integración temprana; de lo contrario, la construcción de pruebas se estanca cuando los protocolos y las listas de asistencia deben ajustarse a requisitos formales.

Qué se puede demostrar en caso de emergencia

El cambio de perspectiva es fácil de formular, pero difícil de aplicar. Lo decisivo será: ¿qué documento respalda qué afirmación? ¿Quién lo firmó y cuándo? Dos columnas separan la afirmación de la prueba.

Tres riesgos marcarán los próximos meses. Primero: el registro se completa, pero el expediente probatorio sigue teniendo lagunas -aumenta la visibilidad, pero no la capacidad de defensa-. Segundo: varios directivos comparten la responsabilidad de tal modo que nadie firma el acto de aprobación. Tercero: a partir del 31 de julio de 2026, la autoridad supervisora se encontrará con morosos sin entrada en el portal y sin cadena documental. La propiedad es el recurso escaso: ¿quién gestiona el expediente probatorio, quién aprueba la formación de la dirección y el registro de actas, quién escala cuando el CISO informa y la agenda guarda silencio?

Las fuentes no siempre coinciden. Los artículos de despachos de abogados y asociaciones suelen hablar de «plazo adicional», lo que suena a retraso subsanado. Sin embargo, el BSI es más estricto en su redacción: el plazo legal ha expirado; en la carta de las asociaciones, la autoridad calcula con notificaciones posteriores hasta el 31 de julio de 2026 (heise online, 17.06.2026). «Tolerancia» es la interpretación de los despachos sobre esta flexibilidad en la ejecución. En el escrito del BSI no aparece el término. Digital Chiefs respalda esta lectura porque agudiza la decisión de la dirección: ponerse al día y, en paralelo, construir las pruebas. No cabe esperar que se subsane el retraso.

Los primeros 90 días: prueba en lugar de lista de verificación

El primer paso no es comprar una herramienta. Es un expediente con cinco elementos que debe estar listo en noventa días, liderado por la dirección y respaldado operativamente por el CISO y el departamento legal.

Días 1–30: estado y mapa de brechas. Aclarar o confirmar el alcance. Verificar el estado de registro en el portal del BSI y completar los requisitos de acceso pendientes (ELSTER/MUK). En paralelo: inventario de los documentos existentes -análisis de riesgos, alcance del ISMS, planes de incidentes y continuidad, decisiones previas de la dirección-. Lo que falte, se asigna a un responsable y una fecha.

Días 31–60: aprobación y formación. La dirección aprueba formalmente la gestión de riesgos y el catálogo de medidas. El acta recoge el alcance, las excepciones y los responsables. Se programa y acredita la formación obligatoria para la dirección -con lista de asistentes y contenido documentado-. El CISO presenta el primer informe escrito de supervisión a la dirección.

Días 61–90: ritmo operativo. Calendario trimestral para informes a la dirección, canales de notificación y escalado. Roles en el portal del BSI para registro y notificación de incidentes. Brechas del inventario con plazos y responsables de presupuesto. Quien solo haya marcado el registro ha cumplido con la mitad de su obligación. Quien gestione el expediente de pruebas, podrá responder en caso de emergencia.

Los compromisos son reales. La rapidez en el registro sin calidad en la documentación genera una falsa sensación de seguridad. El perfeccionismo en el expediente sin entrada en el portal deja pendiente la obligación más visible. La decisión correcta: aprovechar la ventana de notificación posterior para el registro y garantizar la trazabilidad en esos mismos noventa días. Es poco llamativo. Es la parte que leerán después la supervisión y las reclamaciones.

Quien, como director general, responde personalmente, conoce la diferencia entre «nos ocupamos» y «podemos demostrarlo». NIS-2 no convierte esta diferencia en una cuestión de estilo. La convierte en una obligación de la dirección con riesgo personal, especialmente en las reclamaciones contra la propia organización.

Preguntas frecuentes

Fuente de la imagen: generada por IA (julio de 2026)