[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:el-registro-nis2-las-dos-listas-en-las-que-puede-estar-que-presenta-para-cuando-y-a-quien-articulo-3-4-y-articulo-27":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","el-registro-nis2-las-dos-listas-en-las-que-puede-estar-que-presenta-para-cuando-y-a-quien-articulo-3-4-y-articulo-27","El registro NIS2: las dos listas en las que puede estar, qué presenta, para cuándo y a quién (artículo 3(4) y artículo 27)","NIS2 tiene dos registros, no uno. Toda entidad esencial o importante presenta cuatro datos a su autoridad competente para que el Estado miembro pueda elaborar su lista a más tardar el 17 de abril de 2025 (artículo 3(3) y (4)), con los cambios notificados en dos semanas. Once tipos de entidades digitales, entre ellas los proveedores de servicios en la nube y los proveedores de servicios gestionados, presentan además seis datos a más tardar el 17 de enero de 2025 para el registro de la ENISA (artículo 27), con los cambios en tres meses. Qué Estado los recibe (artículo 26), para qué sirven las dos listas, qué no decide el registro, y el registro que hay que conservar.","2026-09-12","\nLa pregunta llega de dos formas: «¿tenemos que registrarnos bajo NIS2?» y «se nos pasó la fecha de registro, ¿y ahora qué?». Las dos tienen la misma primera respuesta: en la Directiva (UE) 2022\u002F2555 hay dos registros, con entidades distintas, datos distintos, plazos distintos y destinatarios distintos, y la mayoría de las empresas que preguntan están en una lista y unas pocas en las dos. Este artículo es las dos listas tal como las escribe la Directiva, leídas del texto, con las fechas y lo que hay que conservar.\n\n## La primera lista: toda entidad esencial o importante (artículo 3(3) y (4))\n\nArtículo 3(3): «A más tardar el 17 de abril de 2025, los Estados miembros deben elaborar una lista de las entidades esenciales e importantes así como de las entidades que prestan servicios de registro de nombres de dominio», revisada y actualizada con regularidad, «al menos cada dos años». La lista es del Estado, no de la entidad, pero la entidad la alimenta. El artículo 3(4) hace que los Estados miembros requieran a esas entidades que presenten a las autoridades competentes «al menos la siguiente información»:\n\n| Artículo 3(4) | Qué se presenta |\n| --- | --- |\n| (a) | El nombre de la entidad |\n| (b) | La dirección y los datos de contacto actualizados, «incluidas las direcciones de correo electrónico, los rangos de IP y los números de teléfono» |\n| (c) | Si procede, el sector y el subsector pertinentes de los anexos I o II |\n| (d) | Si procede, una lista de los Estados miembros en los que la entidad presta servicios comprendidos en el ámbito de aplicación de la Directiva |\n\nLos cambios se notifican «sin demora» y, «en cualquier caso, en el plazo de dos semanas desde la fecha en que se produjo el cambio». La Comisión, con la ENISA, proporciona directrices y plantillas, y los Estados miembros pueden establecer mecanismos nacionales para que las entidades se registren por sí mismas, que es el portal de autorregistro que una empresa encuentra en la práctica. «Al menos» significa que un Estado puede pedir más a través de esos mecanismos.\n\nEl artículo 3(5) dice para qué sirve la lista: a más tardar el 17 de abril de 2025 y cada dos años, las autoridades competentes notifican a la Comisión y al Grupo de Cooperación el número de entidades esenciales e importantes por sector y subsector, y a la Comisión información sobre las entidades identificadas con arreglo a las reglas independientes del tamaño del artículo 2(2), letras (b) a (e). La lista es cómo un supervisor sabe a quién supervisa, y cómo la Unión cuenta su población regulada.\n\n## La segunda lista: el registro de entidades digitales de la ENISA (artículo 27)\n\nEl artículo 27(1) hace que la ENISA «cree y mantenga» un registro de once tipos de entidades: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, entidades que prestan servicios de registro de nombres de dominio, proveedores de servicios de computación en nube, proveedores de servicios de centro de datos, proveedores de redes de distribución de contenidos, proveedores de servicios gestionados, proveedores de servicios de seguridad gestionados, así como proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales. Son las entidades cuya jurisdicción sigue a su establecimiento principal en lugar de a cada Estado al que sirven (artículo 26(1)(b)), y por eso la Unión quiere un único registro de ellas. [Una empresa SaaS es un proveedor de servicios de computación en nube](\u002Farticles\u002Fnis2-for-a-saas-company-you-are-a-cloud-computing-service-provider-and-this-is-what-follows) y [un MSP o MSSP está en la lista por definición](\u002Farticles\u002Fnis2-for-managed-service-providers-and-mssps-an-annex-i-entity-by-definition-and-the-supplier-every-customers-due-diligence-lands-on), así que la mayoría de las empresas de software y de servicios informáticos que están dentro del ámbito de aplicación están también en esta segunda lista.\n\nEl artículo 27(2) hace que los Estados miembros exijan a esas entidades que presenten «a más tardar 17 de enero de 2025» la siguiente información:\n\n| Artículo 27(2) | Qué se presenta |\n| --- | --- |\n| (a) | El nombre de la entidad |\n| (b) | El sector, subsector y tipo de entidad de los anexos I o II, en su caso |\n| (c) | La dirección del establecimiento principal de la entidad y del resto de sus establecimientos legales en la Unión o, de no estar establecida en la Unión, de su representante designado en virtud del artículo 26(3) |\n| (d) | Los datos de contacto actualizados, en particular las direcciones de correo electrónico y los números de teléfono de la entidad y, en su caso, de su representante |\n| (e) | Los Estados miembros en los que la entidad presta servicios |\n| (f) | Los rangos de IP de la entidad |\n\nLos cambios se notifican sin demora y, en cualquier caso, en el plazo de tres meses desde la fecha del cambio (artículo 27(3)). El punto de contacto único remite la información a la ENISA, salvo la del apartado 2, letra (f): los rangos de IP se quedan en el ámbito nacional (artículo 27(4)). Cuando un Estado tiene un mecanismo nacional de autorregistro con arreglo al artículo 3(4), la presentación del artículo 27 se hace a través de él (artículo 27(5)). El registro no es público: la ENISA da acceso a las autoridades competentes previa solicitud, «garantizando al mismo tiempo que se protege la confidencialidad de la información» (artículo 27(1)), así que una empresa no puede consultarse a sí misma y un cliente no puede comprobar allí a un proveedor.\n\n## Qué Estado, y qué no decide registrarse\n\nEl destinatario es la autoridad competente del Estado que tiene la jurisdicción. Para la mayoría de las entidades es el Estado de establecimiento (artículo 26(1)); para los once tipos digitales es el Estado del establecimiento principal, «el Estado miembro en el que se adopten de forma predominante las decisiones relativas a las medidas para la gestión de riesgos de ciberseguridad», en su defecto aquel en el que se lleven a cabo las operaciones de ciberseguridad, en su defecto el establecimiento con mayor número de trabajadores en la Unión (artículo 26(2)). Una entidad no establecida en la Unión que ofrece esos servicios en ella designa un representante en uno de los Estados donde lo hace (artículo 26(3)), y se registra allí. [La página de cada Estado miembro](\u002Fmember-states) nombra el acto que el Estado comunicó como su ley NIS2 y su CSIRT; [el registro de transposición](\u002Farticles\u002Fnis2-transposition-state-by-state-what-the-commissions-register-shows) es donde se encuentra el mecanismo nacional, porque la Directiva no lo nombra.\n\nRegistrarse no decide si usted es esencial o importante; lo deciden la regla de tamaño y las reglas independientes del tamaño, y la lista del Estado consigna el resultado. No registrarse no le saca del ámbito de aplicación: el artículo 3(4) es una obligación de la entidad, y el artículo 36 hace que los Estados miembros establezcan sanciones por las infracciones de las medidas nacionales, «efectivas, proporcionadas y disuasorias», y ahí es donde se sanciona un registro tardío o ausente. Las dos fechas, 17 de enero de 2025 y 17 de abril de 2025, han pasado; una entidad que las incumplió sigue teniendo la obligación y la cumple presentando ahora, a través del mecanismo nacional donde lo haya, y respetando desde entonces los plazos de dos semanas y tres meses para los cambios.\n\n## El registro que hay que conservar\n\nLo que sobrevive a la pregunta de una autoridad es un registro de la inscripción: los datos presentados, con arreglo a qué artículo, a qué autoridad, en qué fecha, con el acuse de recibo; y un diario de cambios, porque los datos que más cambian, los de contacto, los rangos de IP, los Estados servidos, son los que llevan un plazo de dos semanas o tres meses. El tipo de los anexos I o II de la letra (b) del artículo 27(2) es la misma fila de la que parte [la determinación del ámbito de aplicación](\u002Fnis2\u002Fscope), en la lengua del lector, y el Estado que nombra es aquel cuya autoridad recibe la presentación.\n\n## Fuentes\n\n- Directiva (UE) 2022\u002F2555 (NIS2), artículo 2(2), artículo 3(3) a (5), artículo 26(1) a (3), artículo 27, artículo 36, considerando 117.\n\nEsto no es asesoramiento jurídico. El mecanismo de registro, el formulario y la sanción por una fecha incumplida están en el acto de transposición de cada Estado miembro, que es el texto que hay que leer después de la Directiva.\n",1789383966825]