- Significado
- inscripción de las entidades sujetas a NIS2
- Wo
- no existe todavía en España
- Plazo
- ninguno; no hay ley que lo fije
- Relación con NIS2
- obligación legal, pendiente de transposición
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es la obligación de registro?
Con NIS2, las entidades afectadas deben inscribirse ante la autoridad que designe su Estado miembro, y por eso las autoridades nacionales de ciberseguridad difieren de un país a otro. La inscripción permite a la autoridad saber quién está sujeto a las obligaciones y quién presentará las notificaciones llegado el caso. En España todavía no hay ante quién inscribirse: la ley no se ha aprobado y el anteproyecto no está en el BOE. A diferencia del registro de entidades (la herramienta técnica), la obligación de registro es el acto jurídico en sí. Un punto importante: la clasificación como entidad esencial o entidad importante corresponde, por regla general, a la propia entidad, que debe comprobar por su cuenta si queda dentro del ámbito. Esa comprobación no depende de que exista la ley y puede hacerse ya.
Qué datos hará falta reunir
- Datos identificativos de la entidad
- Sector y clasificación como entidad esencial o entidad importante
- Puntos de contacto para las notificaciones, a ser posible localizables las 24 horas
Plazo y procedimiento
La obligación de registro no nace de la directiva, sino de la ley nacional que la transpone. NIS2 es aplicable desde el 18.10.2024 y el plazo de transposición terminó el 17.10.2024, pero España no lo cumplió. Por eso el plazo español de registro es hoy inexistente y no hay ningún registro abierto. La Comisión Europea emitió un dictamen motivado el 07.05.2025 y después demandó a España ante el Tribunal de Justicia de la Unión Europea; la propia Comisión publica el estado de la transposición país por país. Hasta que exista la ley, quien anuncie una fecha española de registro no la ha leído en ninguna fuente oficial.
El registro es solo el principio
Inscribirse no cumple las obligaciones: es solo la entrada formal. Después viene el trabajo de fondo: gestión de riesgos, medidas técnicas y organizativas y el cumplimiento de las obligaciones de notificación. Nada de eso depende de la ley española: la gestión de riesgos, las medidas y el proceso interno de notificación se construyen igual y no se recuperan en el último momento. Cuando la ley llegue y el incumplimiento sea sancionable, el artículo 34 fija cuantías máximas mínimas: al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales y al menos 7 millones o el 1,4 % para las importantes, y los Estados miembros pueden fijar importes superiores.
Un caso de la práctica
Un caso típico: un fabricante de componentes industriales no sabe si le afecta. Tras revisar los sectores y los umbrales de tamaño concluye que sería entidad importante. Como no hay ningún registro en el que inscribirse, no espera: designa un punto de contacto para notificaciones, documenta con fecha el resultado de su autoevaluación y empieza a construir su gestión de riesgos. El día en que la ley entre en vigor, inscribirse le costará una tarde; lo demás ya lo tendrá hecho.
Preguntas frecuentes
¿Qué es la obligación de registro de NIS2?
La obligación de registro es la inscripción formal de las entidades que quedan dentro del ámbito de NIS2 ante la autoridad que designe cada Estado miembro. Con ella la autoridad sabe qué entidad está sujeta a las obligaciones, a qué sector pertenece y por qué punto de contacto se presentarán las notificaciones. La clasificación como entidad esencial o entidad importante corresponde, por regla general, a la propia entidad. En España esta obligación todavía no rige, porque la ley que debe establecerla no se ha aprobado.
¿Hasta cuándo hay que registrarse en España?
No hay ninguna fecha. La obligación de registro no nace de la directiva, sino de la ley nacional que la transpone, y España todavía no la ha aprobado: el anteproyecto sigue sin publicarse en el BOE. Por eso no existe ni registro ni plazo, y cualquier fecha española que se le ofrezca carece de base oficial. Cuando la ley exista, el incumplimiento podrá sancionarse: el artículo 34 de la directiva fija cuantías máximas mínimas de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales.
¿Basta con registrarse?
No. El registro es solo la entrada formal al cumplimiento de NIS2 y no satisface ninguna de las obligaciones de fondo. Después vienen las tareas reales: una gestión de riesgos adecuada, medidas técnicas y organizativas de seguridad y el cumplimiento de la cadena escalonada de notificación ante incidentes, con alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes. Nada de eso depende de la ley española y puede empezarse hoy.
Más información: INCIBE-CERT – NIS2: lo que necesita saber