Inscripción NIS2: cómo funciona en cada país de la UE

La inscripción suele ser la primera obligación de la NIS2 con la que se encuentra una organización y la más rápida de cumplir. La Directiva fija la información mínima que deben facilitar las entidades, pero deja en manos de cada Estado miembro el canal, el formulario y el plazo. Por eso, una empresa establecida en varios países puede tener que seguir varios procesos distintos.

Qué exige la Directiva

Cada Estado miembro debe elaborar una lista de entidades esenciales e importantes y de entidades que prestan servicios de registro de nombres de dominio (art. 3.3). Para confeccionarla, los Estados miembros exigen a esas entidades que comuniquen a las autoridades competentes, como mínimo, la siguiente información (art. 3.4):

• El nombre de la entidad.
• La dirección y datos de contacto actualizados, incluidas las direcciones de correo electrónico, los rangos de IP y los números de teléfono.
• Cuando proceda, el sector y el subsector correspondientes de los anexos I o II.
• Cuando proceda, una lista de los Estados miembros en los que la entidad presta servicios incluidos en el ámbito de aplicación de la NIS2.

Los cambios en estos datos deben notificarse sin demora y, en cualquier caso, en un plazo de dos semanas desde la fecha del cambio (art. 3.4). Los formularios nacionales pueden pedir más que este mínimo, por ejemplo el número de registro mercantil de la empresa.

Cada Estado miembro gestiona su propio proceso

No existe un portal de inscripción único para toda la UE. Los Estados miembros pueden permitir que las entidades se inscriban por sí mismas, y la mayoría lo hace, pero el portal, el método de acceso, el plazo y, en ocasiones, la autoridad varían. Algunos ejemplos muy distintos entre sí, según nuestra investigación por países en el momento de redactar este artículo:

• Alemania: un proceso en línea en dos pasos, primero una cuenta de empresa («Mein Unternehmenskonto») y después el portal de la BSI. El plazo legal vencía el 6 de marzo de 2026.
• Italia: un plazo anual. Las entidades se inscriben o actualizan su inscripción en el portal de servicios de la Agencia Nacional de Ciberseguridad (ACN) cada año entre el 1 de enero y el 28 de febrero.
• Finlandia: la supervisión es sectorial, por lo que las entidades se inscriben ante la autoridad supervisora de cada sector pertinente; una entidad activa en varios sectores se inscribe ante cada una de ellas.
• Croacia y Lituania: las autoridades identifican a las entidades incluidas en el ámbito de aplicación y les notifican su condición, en lugar de basarse en la autoinscripción.
• España, Francia e Irlanda: en el momento de redactar este artículo no se había aprobado la ley nacional de transposición, por lo que la inscripción obligatoria aún no está abierta. La agencia francesa de ciberseguridad, ANSSI, ya ofrece una preinscripción en su portal MonEspaceNIS2, y el Centro Nacional de Ciberseguridad de Irlanda ha indicado que sus portales solo entrarán en funcionamiento cuando se promulgue la ley.

Además, la NIS2 aún no se ha incorporado al Acuerdo EEE, por lo que todavía no se aplica en Noruega ni en Islandia.

Los plazos también difieren en su forma: algunos países fijan una fecha concreta y otros conceden un periodo, por ejemplo de varios meses, desde la entrada en vigor de la ley nacional o desde que una organización queda incluida en el ámbito de aplicación. Los detalles cambian a menudo, así que consulte las páginas de NIS2 por país, que indican la autoridad, el canal de inscripción y el plazo de cada país, y confírmelos en el sitio web de la propia autoridad.

Si opera en varios países

Por regla general, una entidad está sujeta a la jurisdicción del Estado miembro en el que está establecida (art. 26.1), por lo que un grupo con filiales en varios países puede tener que inscribir cada una de ellas en su propio país. Los proveedores de redes o servicios públicos de comunicaciones electrónicas están sujetos a la jurisdicción de cada Estado miembro en el que prestan sus servicios.

Los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, los servicios de registro de nombres de dominio, los proveedores de computación en nube, de centros de datos y de redes de distribución de contenidos, los proveedores de servicios gestionados y de servicios de seguridad gestionados, los mercados en línea, los motores de búsqueda en línea y las plataformas de redes sociales siguen una regla distinta: están sujetos a la jurisdicción del Estado miembro de su establecimiento principal en la UE y además comunican información para el registro que mantiene ENISA (arts. 26 y 27).

Lista de comprobación: qué preparar

Reúna esta información antes de abrir cualquier formulario nacional. La mayoría de los retrasos se deben a los rangos de IP públicas, que a menudo gestiona un proveedor de TI o de alojamiento.

• La denominación legal, el número de registro y la dirección de cada entidad que deba inscribirse.
• Los datos de contacto para asuntos de ciberseguridad: un buzón compartido y supervisado y un número de teléfono, una persona de contacto designada y un suplente, para que los mensajes de la autoridad no se pierdan cuando alguien esté ausente.
• Sus rangos de direcciones IP públicas, incluidos los que utilizan otras oficinas o los que le haya asignado su proveedor de internet o de alojamiento.
• El sector y el subsector de su actividad principal, según los anexos I o II de la Directiva.
• Los Estados miembros en los que presta servicios incluidos en el ámbito de aplicación.
• El medio de acceso que exija el portal nacional, como una identidad electrónica empresarial o una autorización para actuar en nombre de la empresa, gestionado con antelación.
• Si es probable que sea una entidad esencial o importante, ya que algunos procesos nacionales le piden que identifique usted mismo su categoría.

Mantenga la inscripción actualizada

Según la Directiva, los cambios deben notificarse en un plazo de dos semanas. Los motivos habituales son un nuevo rango de IP tras un cambio de alojamiento, una nueva persona de contacto, un cambio de sector o el inicio de servicios en otro país. Designe a una persona responsable de los datos de inscripción, conserve una copia de cada solicitud con la fecha y el nombre de quien la presentó, y revise los datos cada vez que cambie alguno de estos elementos.

¿No cumplió un plazo?

Inscríbase cuanto antes en lugar de esperar. La inscripción tardía o la falta de inscripción pueden sancionarse por sí mismas: en Italia, por ejemplo, no inscribirse puede acarrear multas de hasta el 0,1 % del volumen de negocios anual mundial. Algunas autoridades han tolerado durante un tiempo las inscripciones tardías, como al parecer hizo la BSI alemana, pero no cuente con ello.

Si su organización queda incluida en el ámbito de aplicación más adelante, por ejemplo porque supera el umbral de tamaño o inicia una actividad en un sector enumerado, compruebe la norma nacional para las nuevas entidades. Muchos países conceden un plazo fijo desde ese momento: por ejemplo, dos meses en Grecia y 30 días en Eslovenia.

Errores habituales

• Presentar rangos de IP incompletos, por ejemplo olvidando los que utiliza una segunda oficina o un proveedor de alojamiento. Consulte a sus proveedores antes de empezar.
• Elegir el sector de una actividad secundaria o de un cliente en lugar del de su propia actividad principal.
• Indicar como único contacto la dirección de correo electrónico personal de un empleado.
• Inscribir solo a la sociedad matriz y suponer que eso cubre a las filiales establecidas en otros Estados miembros.
• Esperar a que la autoridad se ponga en contacto en un país donde la autoinscripción es obligatoria.
• Tratar la inscripción como una tarea puntual y no comunicar nunca los cambios.
• Suponer que la inscripción equivale al cumplimiento. Es solo el primer paso; después vienen la responsabilidad del órgano de dirección, las medidas de seguridad y la notificación de incidentes.

Por dónde empezar

Si no está seguro de si debe inscribirse, nuestra evaluación NIS2 gratuita comprueba si está dentro del ámbito de aplicación y puntúa su grado de preparación; después, consulte la página de NIS2 por país de cada país en el que esté establecido. Los suscriptores reciben además, precumplimentados para su empresa, los documentos que deben seguir a la inscripción: la política de seguridad de la información, la resolución del órgano de dirección y el procedimiento de notificación de incidentes.