- Quién supervisa hoy
- autoridades nacionales de ciberseguridad
- Finalidad prevista
- inscripción de entidades y notificación de incidentes
- Acceso
- sin definir; dependerá de la ley que se apruebe
- Relación con NIS2
- interfaz de inscripción y notificación
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es el registro de entidades y existe ya en España?
El Registro de entidades es la plataforma en la que las entidades sujetas a NIS2 se inscriben y mantienen sus datos. En España todavía no existe, porque la ley que debería crearlo no se ha aprobado. Mientras los términos autoridades nacionales de ciberseguridad y autoridad competente describen la institución y el papel jurídico, el registro de entidades es la herramienta concreta: el punto por el que una entidad tramita su relación con la autoridad. El anteproyecto prevé crearlo. Hasta entonces no hay ningún sitio en el que inscribirse, y cualquier dirección que se le ofrezca como registro NIS2 español no lo es.
Para qué serviría
- Obligación de registro como entidad afectada
- Las notificaciones escalonadas de incidentes de seguridad: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final al mes
- Gestión de los datos de contacto e identificativos de la entidad
Cómo sería el acceso
El anteproyecto no detalla el procedimiento. En otros Estados miembros el acceso se vincula a una identidad electrónica que la empresa ya posee para sus trámites con la Administración. La ventaja es siempre la misma: el acceso queda ligado a una identidad ya establecida y no hay que construir un sistema de alta nuevo. Qué solución se adopte en España se sabrá cuando exista la norma.
El registro en el proceso de NIS2
Cuando exista, el registro será la interfaz con la autoridad competente que designe la ley española. NIS2 es aplicable desde el 18.10.2024 y el plazo de transposición terminó el 17.10.2024, pero España no lo cumplió: la Comisión Europea emitió un dictamen motivado el 07.05.2025 y después demandó a España ante el Tribunal de Justicia de la Unión Europea. Mientras la ley no exista no hay inscripción posible ni plazo que vencer, y los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT según el ámbito.
Un escenario en un hospital
El responsable de seguridad de un grupo hospitalario no puede inscribirse todavía en ningún registro, así que prepara lo demás: designa dos puntos de contacto, documenta quién decide y por qué vía se comunica un incidente, y ensaya el procedimiento. Cuando de madrugada se detecta un ataque de cifrado, el equipo de guardia sabe a quién avisar y traslada el incidente a INCIBE-CERT sin perder horas buscando el canal. Después completa la valoración de causa e impacto dentro de las 72 horas y el informe final al mes. El día en que exista el registro de entidades, inscribirse será un trámite: el proceso ya estará montado.
Más información: INCIBE-CERT – NIS2: lo que necesita saber
Preguntas frecuentes
¿Qué es el registro de entidades y existe ya en España?
El registro de entidades es la plataforma en la que las entidades sujetas a NIS2 se inscriben y mantienen actualizados sus datos. En España no existe, porque la ley que debería crearlo no se ha aprobado. El anteproyecto prevé que las entidades esenciales e importantes se inscriban ante la autoridad competente y notifiquen por ese canal, pero mientras la norma no exista no hay dirección a la que dirigirse ni plazo que cumplir.
¿Cómo será el acceso al futuro registro?
El anteproyecto no detalla el procedimiento. En otros Estados miembros el acceso se vincula a una identidad electrónica que la organización ya posee para sus trámites con la Administración, de modo que no hay que construir un sistema de alta nuevo. Sea cual sea la solución que se adopte en España, conviene prever más de un punto de contacto, para que la notificación no dependa de una sola persona.
¿Qué conviene preparar mientras tanto?
Todo lo que no depende del registro. Ante un incidente, NIS2 deja solo 24 horas para la alerta temprana, seguida de la notificación del incidente en 72 horas y del informe final en un mes. Quien empiece a reunir sus datos y sus contactos el día del incidente no llega. Identificar la entidad, el sector, el ámbito de actividad y dos puntos de contacto es trabajo que no caduca y que servirá el día en que el registro exista.