cómo registro mi organización como entidad obligada por la NIS2

El registro se realiza a través de la autoridad supervisora nacional, no a través de esta plataforma

El registro es un paso formal independiente: una entidad clasificada como esencial o importante conforme a la Ley de Ciberseguridad se registra ante la autoridad supervisora competente a través del portal habilitado para ello. Esto ocurre independientemente de la cumplimentación de documentos de política o de la implementación de medidas — es el paso administrativo mediante el cual una organización queda registrada ante la autoridad supervisora como entidad obligada. El procedimiento exacto, el momento en que debe realizarse y los datos necesarios se describen en los canales de la propia autoridad supervisora y en la Ley de Ciberseguridad.

Antes de que el registro sea pertinente, es útil establecer si una organización entra realmente en esa categoría; cómo sé si mi empresa está sujeta a la NIS2 proporciona una primera orientación al respecto, y la diferencia entre las dos categorías que deben registrarse se explica en cuál es la diferencia entre una entidad esencial y una entidad importante. Para quién ya sabe que el registro es necesario, la siguiente pregunta suele ser práctica: qué debe estar listo antes de presentar el registro y quién dentro de la organización lo hace. Esto se superpone con la configuración del expediente de debida diligencia, donde se establece el estado y el responsable de cada medida — véase quién debe ser responsable dentro de mi organización de una medida. Esta plataforma prepara los textos y datos para el registro, pero nunca actúa en nombre del cliente ante el portal de la autoridad supervisora; ese es siempre un paso independiente que realiza la propia organización.

Por qué la obligación de registro es independiente de la obligación de debida diligencia

La obligación de registro y la obligación de debida diligencia son dos obligaciones distintas que la Directiva NIS2 impone a las entidades esenciales e importantes: el artículo 21, apartado 2, de la Directiva (UE) 2022/2555 describe las diez medidas que en conjunto constituyen la obligación de debida diligencia, mientras que la obligación de notificación y el registro se regulan por separado y se han transpuesto en los Países Bajos a través de la Ley de Ciberseguridad. El NCSC proporciona orientación sobre cómo se relacionan la debida diligencia y la obligación de notificación en la práctica, y la autoridad supervisora del sector correspondiente es donde tiene lugar el registro en sí.