Cómo inscribirse ante la RIA en virtud de la NIS2 (Estonia)

La inscripción es la primera obligación de la Ley de Ciberseguridad de Estonia (KüTS) modificada y la más rápida de cumplir. Comunica a la Autoridad del Sistema de Información (RIA) que su organización está dentro del ámbito de aplicación y cómo contactar con ella. Requiere poco tiempo si tiene los datos preparados.

Quién debe inscribirse

Toda organización incluida en el ámbito de aplicación de la ley modificada, ya sea como entidad esencial o como entidad importante, debe inscribirse ante la RIA. La RIA calcula que unas 6500 organizaciones están dentro del ámbito de aplicación, aproximadamente la mitad de ellas por primera vez, por lo que muchas están pasando ahora por este proceso.

Si no está seguro de estar dentro del ámbito de aplicación, compruébelo primero: lo determinan su sector, su tamaño y algunas excepciones que se aplican con independencia del tamaño. Confirme los casos dudosos en torno a los umbrales de tamaño con la RIA o con un abogado, porque la ley formula los umbrales de manera ligeramente distinta a la definición de la UE.

Qué preparar antes de empezar

Reúna lo siguiente antes de abrir el formulario. La mayoría de los retrasos se deben a los rangos de IP públicas, que a menudo gestiona un proveedor de TI o de alojamiento.

• El nombre y el código de registro de su organización.
• Los datos de contacto para asuntos de ciberseguridad. Utilice un buzón compartido y supervisado y designe un suplente, para que los mensajes de la RIA no se pierdan cuando alguien esté ausente.
• Sus rangos de direcciones IP públicas, incluidos los que utilizan otras oficinas o los que le haya asignado su proveedor de internet o de alojamiento.
• El sector al que pertenece su actividad principal.
• Los países en los que presta servicios.

Cómo inscribirse

La inscripción se realiza a través del portal estatal eesti.ee. Los pasos son breves:

• Inicie sesión en eesti.ee y actúe en nombre de su organización.
• Abra la sección de servicios electrónicos y elija el servicio de ciberseguridad.
• Introduzca los datos que ha preparado y compruebe con atención el sector antes de enviarlos.
• Conserve una copia de la solicitud y anote la fecha y quién la presentó. Los auditores y los clientes pueden pedirla.

¿No cumplió el plazo del 1 de abril de 2026?

Las organizaciones que ya estaban dentro del ámbito de aplicación el 1 de enero de 2026 tenían de plazo hasta el 1 de abril de 2026 para inscribirse (KüTS § 28¹). Si no lo cumplió, inscríbase ahora en lugar de esperar. Las demás obligaciones, incluida la notificación de incidentes a la RIA, se aplican tanto si se ha inscrito como si no.

Si su organización entró en el ámbito de aplicación más adelante, por ejemplo porque superó el umbral de tamaño o inició una actividad en un sector enumerado, dispone de tres meses desde ese momento para inscribirse.

Mantenga la inscripción actualizada

Los cambios en los datos inscritos deben comunicarse a la RIA en un plazo de dos semanas. Los motivos habituales son un nuevo rango de IP tras un cambio de alojamiento, una nueva persona de contacto, un cambio de sector o el inicio de servicios en otro país. Designe a una persona responsable de los datos de inscripción y pídale que los revise cada vez que cambie alguno de estos elementos.

Errores habituales

• Presentar rangos de IP incompletos, por ejemplo olvidando los que utiliza una segunda oficina o un proveedor de alojamiento. Consulte a sus proveedores antes de empezar.
• Elegir el sector de una actividad secundaria o de un cliente en lugar del de su propia actividad principal.
• Indicar como único contacto la dirección de correo electrónico personal de un empleado.
• Tratar la inscripción como una tarea puntual y no comunicar nunca los cambios.
• Suponer que la inscripción equivale al cumplimiento. Es solo el primer paso; después vienen la responsabilidad del órgano de dirección, las medidas de seguridad y la notificación de incidentes.

Por dónde empezar

Si no está seguro de si debe inscribirse, nuestra evaluación NIS2 gratuita comprueba si está dentro del ámbito de aplicación de la ley estonia y puntúa su grado de preparación. Los suscriptores reciben además, precumplimentados para su empresa, los documentos que deben seguir a la inscripción: la política de seguridad de la información, la resolución del órgano de dirección y el procedimiento de notificación de incidentes.