Registrarse ante la autoridad supervisora: ¿cómo funciona?
Quienes se califiquen como entidades esenciales o importantes según la Directiva NIS2 deben registrarse ante la autoridad supervisora nacional. Esto se realiza a través de un portal que la autoridad supervisora proporciona, con datos sobre su organización, sus personas de contacto y los servicios que presta. No recibirá una carta que le recuerde esta obligación: la responsabilidad de registrarse recae en la organización misma, no en la autoridad supervisora para localizarle.
Este último punto sorprende a muchas direcciones. Con otras obligaciones —una licencia, una declaración anual— suele recibir una notificación de la autoridad misma. Con la obligación de registro según la Ley de Ciberseguridad funciona al revés: la autoridad supervisora no sabe a priori cuáles son las organizaciones que caen bajo la ley, y por tanto depende de su propia evaluación y acción.
Qué datos se solicitan
El registro generalmente solicita datos identificativos de la organización, como el nombre, el número de registro mercantil y la dirección, complementados con el sector y la actividad por la que se calififica bajo la ley. Además, se solicitan una o más personas de contacto a las que la autoridad supervisora pueda comunicarse, con nombre, teléfono y correo electrónico —a menudo personas distintas del contacto comercial habitual de la empresa, porque se trata de disponibilidad en caso de incidente. Los sistemas de redes e información o servicios pertinentes para la calificación como esencial o importante, y a veces los Estados miembros en los que presta servicios, también forman parte de la información que la autoridad supervisora desea obtener.
Los campos exactos y la estructura del formulario varían según el país, porque cada Estado miembro transpone la directiva en su propia legislación nacional y la autoridad supervisora configura el portal. Lo que se solicita en los Países Bajos no tiene por qué corresponder exactamente con lo que una autoridad supervisora de otro país solicita a una filial allí.
Por qué no recibe carta
La obligación de registro se ha establecido como una obligación de la organización, no como una invitación de la autoridad pública. La autoridad supervisora no dispone al inicio de la ley de un registro completo de quién está activo dónde y bajo qué umbral —esa información debe proceder del propio sector. Esto es comparable a cómo funcionan el registro mercantil o la declaración de IVA: la responsabilidad de actuar a tiempo recae en el empresario, aunque nadie envíe un recordatorio.
Para muchas empresas de tamaño pequeño y mediano que resulten afectadas a través de la cadena de suministro, esto no es relevante en cualquier caso: solo las entidades esenciales e importantes tienen obligación de registro. Las empresas que solo reciben un cuestionario de seguridad de un cliente que sí está regulado no se registran por sí mismas ante la autoridad supervisora. Si su organización se encuentra en el primer o el segundo grupo no siempre es evidente de inmediato; en unos pocos pasos conocer dónde se encuentra su organización proporciona una primera orientación, con una explicación por cada resultado.
Cuándo registrarse
La ley nacional establece el plazo y el momento a partir del cual una organización debe registrarse después de calificarse como esencial o importante. Estos plazos figuran en la transposición nacional de la directiva y en el sitio web de la autoridad supervisora, y pueden cambiar a medida que se desarrolla la legislación. Para conocer la situación actual debe dirigirse a la autoridad supervisora competente o a un asesor legal, no a un artículo general —un cambio en el sitio web o un anuncio de la autoridad supervisora es lo que prevalece en este punto, no una fecha almacenada en algún lugar.
Lo que secria.eu hace y no hace en el registro
La plataforma le ayuda a preparar el texto y los datos que necesita para completar el formulario de registro: qué personas de contacto debe proporcionar, qué descripción de sector y actividad se ajusta a cómo categoriza la autoridad competente, y qué justificación respalda la calificación. Lo que explícitamente no hace es presentarlo en su nombre. Usted debe presentarlo personalmente en el portal de su autoridad competente; secria.eu prepara el texto, usted lo envía. Cómo se produce exactamente esa preparación y qué fuentes se utilizan, se explica en la página sobre cómo se produce la información.
Duda sobre su propia situación
Si y cuándo el registro es pertinente para su organización depende del sector en el que opera, del tamaño de su organización y de la ley nacional que le es aplicable. Esta no es una cuestión que un único artículo general pueda responder para su situación específica; para ello, la autoridad competente o un abogado son el punto de contacto indicado. Las preguntas prácticas frecuentes sobre registro, obligación de notificación y el papel de los proveedores están compiladas en la página de preguntas frecuentes.
¿Desea primero una descripción general de todos los temas relacionados con la Directiva NIS2 y la Ley de Ciberseguridad, desde la clasificación sectorial hasta las diez medidas de gestión del riesgo? Las encontrará, seleccionadas según su situación, en la página de descripción general de todos los temas. Y si aún no sabe si el registro es pertinente para usted, el análisis rápido gratuito es el primer paso más rápido para obtener una visión clara.