Artículo 26 de NIS2: ¿qué autoridad supervisa realmente a su cliente?

Un proveedor de servicios gestionados en Róterdam opera la seguridad de un cliente con sede social en Fráncfort, tres plantas de producción en Polonia y una oficina comercial en Milán.

Cuatro países. Cuatro leyes nacionales de NIS2. Cuatro autoridades de supervisión.

¿Cuál puede auditarlo?

La mayoría de los consultores se equivoca. Asumen que NIS2 funciona como la ventanilla única del RGPD, o que cada país de operación añade otra autoridad. Ninguna de las dos cosas es cierta. El artículo 26 de NIS2 fija la regla y divide a las entidades en dos grupos que se comportan de forma muy distinta.

En la mayoría de sectores, la competencia sigue al establecimiento — en cada país donde opera

El artículo 26(1)(a) es breve: las entidades están sujetas a la jurisdicción del Estado miembro en el que estén establecidas.

Fíjese en el plural implícito. Un fabricante con entidades jurídicas en Alemania, Polonia e Italia está establecido tres veces. Si cada una de esas entidades supera el umbral de tamaño en un sector del anexo I o del anexo II, cada una entra por separado en el ámbito de aplicación, se registra por separado y es supervisada por separado por la autoridad de ese país.

Ese es el caso por defecto y afecta a la mayoría de clientes: energía, transporte, banca, salud, agua potable, aguas residuales, fabricación, alimentación, gestión de residuos, servicios postales, química, proveedores digitales e investigación.

Ejemplo concreto. Un productor alimentario tiene una planta de 60 personas en Polonia y otra de 40 en Bélgica. La entidad polaca entra en el ámbito de la ley polaca y debe registrarse allí. La entidad belga no alcanza el umbral de tamaño por sí sola. Mismo grupo, obligaciones distintas, autoridades distintas, dos programas de cumplimiento separados.

Los consultores que montan un único programa NIS2 centralizado para un grupo y se detienen ahí dejan expuesta a cada entidad local. La política de grupo es útil. No sustituye al registro local ni a la supervisión local.

Los proveedores digitales y de servicios gestionados tienen una sola autoridad

El artículo 26(1)(b) aísla una lista concreta y otorga a esas entidades un único punto de supervisión, operen donde operen en la UE:

• proveedores de servicios de DNS
• registros de nombres de dominio de primer nivel
• entidades que prestan servicios de registro de nombres de dominio
• proveedores de servicios de computación en nube
• proveedores de servicios de centros de datos
• proveedores de redes de distribución de contenidos
• proveedores de servicios gestionados
• proveedores de servicios gestionados de seguridad
• proveedores de mercados en línea, motores de búsqueda en línea y plataformas de servicios de redes sociales

Estas entidades están sujetas a la jurisdicción del Estado miembro en el que tengan su establecimiento principal. Una autoridad. Un registro. Una ley nacional, aunque atiendan a clientes en los 27 Estados miembros.

Si dirige un MSP o MSSP, esto le afecta directamente — a su propia posición de cumplimiento, no solo a la de sus clientes. Consulte nuestra guía de NIS2 para MSP y MSSP sobre el problema de la doble obligación.

«Establecimiento principal» no es su domicilio social

Aquí es donde fallan la mayoría de autoevaluaciones. El artículo 26(2) define el establecimiento principal mediante una cascada, y el domicilio social no aparece en ninguna parte.

1. El Estado miembro donde se toman predominantemente las decisiones relativas a las medidas de gestión de riesgos de ciberseguridad.
2. Si ese Estado miembro no puede determinarse, o esas decisiones no se toman en la Unión — el Estado miembro donde se llevan a cabo las operaciones de ciberseguridad.
3. Si tampoco puede determinarse — el Estado miembro donde la entidad tenga el establecimiento con el mayor número de empleados en la Unión.

Relea el paso uno. Se trata de dónde se toman las decisiones. No de dónde está constituida la sociedad, ni de dónde se sienta el CEO, ni de dónde se emiten las facturas.

Un MSP constituido en Luxemburgo por motivos fiscales, con su CISO, su comité de dirección de seguridad y su registro de riesgos en Amberes, tiene su establecimiento principal en Bélgica. Se aplica la ley belga. Supervisa el CCB. La inscripción luxemburguesa es irrelevante a efectos del artículo 26.

Documente en qué paso de la cascada quedó y por qué. Cuando una autoridad pregunte, «nuestros abogados dijeron Luxemburgo» no es una respuesta. Las actas del consejo que muestran dónde se aprueban las decisiones de gestión de riesgos, sí.

Los proveedores de fuera de la UE deben designar un representante — y esa elección fija la competencia

El artículo 26(3) cubre a los proveedores de la lista 26(1)(b) que no están establecidos en la Unión pero ofrecen servicios en ella. Deben designar un representante establecido en uno de los Estados miembros donde ofrezcan esos servicios. Se considera entonces que la entidad está sujeta a la jurisdicción del Estado miembro donde ese representante esté establecido.

Dos consecuencias que los consultores pasan por alto de forma sistemática.

Designar un representante no protege a la entidad. Se pueden emprender acciones legales contra el propio proveedor incluso habiendo designado representante.

No designarlo no genera inmunidad. Genera un proveedor sin representación que vende en un mercado donde las autoridades pueden actuar contra él igualmente.

Conclusión práctica: si revende o integra una plataforma cloud estadounidense, británica o suiza en un servicio esencial de un cliente, pida su representante en la UE y el Estado miembro donde se encuentra. Si no pueden nombrar a ninguno, tiene un hallazgo que incorporar a la evaluación de la cadena de suministro del cliente. Exactamente el tipo de brecha que trata la seguridad de la cadena de suministro en NIS2.

Una sola autoridad no significa un solo reglamento

El artículo 26 decide quién le supervisa. No armoniza contra qué le supervisa.

NIS2 es una directiva, no un reglamento. Cada Estado miembro la ha transpuesto a su propia ley, con su portal de registro, sus plazos, su interpretación de los umbrales de tamaño y, en varios casos, su propio marco de control — el CyFun belga, la categorización de la ACN italiana, la BSIG alemana.

Y la transposición sigue incompleta. El 8 de julio de 2026, la Comisión Europea llevó a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la UE por no notificar medidas de transposición completas, solicitando sanciones económicas en cada caso. Analizamos lo que eso significa para los proveedores en Francia y España ante el TJUE.

Para un proveedor de la lista 26(1)(b), el establecimiento principal es por tanto una variable estratégica real. Dónde se toman sus decisiones de seguridad determina en qué portal se registra, a qué CSIRT notifica, con qué cultura supervisora trata y a qué marco debe mapear sus evidencias. No es algo que descubrir durante una auditoría. Consulte la situación de cada país en nuestro calendario de implementación de NIS2.

El artículo 27 impide elegir discretamente una jurisdicción favorable

El artículo 27 obliga a los Estados miembros a recopilar, a través de sus puntos de contacto únicos, la información identificativa de cada entidad de la lista 26(1)(b) y remitirla a ENISA. ENISA mantiene un registro a escala de la Unión y da acceso a las autoridades competentes cuando lo solicitan.

La información remitida incluye el nombre de la entidad, el sector y subsector correspondientes de los anexos, la dirección y datos de contacto, los Estados miembros donde presta servicios y sus rangos de IP.

Esos dos últimos puntos pesan más de lo que parece. Usted declara los países a los que sirve, ENISA custodia el registro y cualquier autoridad nacional puede solicitar acceso.

Así que un proveedor que se registra en el Estado miembro con la reputación supervisora más laxa mientras sus decisiones reales de seguridad se toman en otro lugar no se está escondiendo. Está presentando una declaración que da a los reguladores la materia prima para detectar el desajuste. El registro ya es de por sí la obligación más incumplida de NIS2 — véase la obligación de registro.

Equivocarse de jurisdicción se acumula en tres incumplimientos distintos

Rara vez se queda en un problema de papeleo.

Registro. Si se registra en el Estado miembro equivocado, está sin registrar en el correcto. En la mayoría de leyes nacionales eso es una infracción autónoma, totalmente independiente de lo buena que sea su postura de seguridad real.

Notificación de incidentes. La alerta temprana de 24 horas va al CSIRT del Estado miembro competente. Si la envía al equivocado, el reloj sigue corriendo mientras lo descubre. Una notificación tardía es una infracción separada del propio incidente. Los plazos están en la notificación de incidentes NIS2.

Cadena de suministro. Sus clientes están obligados a evaluar a sus proveedores conforme al artículo 21(2)(d). Un proveedor que no sabe indicar su propia autoridad supervisora es un proveedor cuyo estado de cumplimiento no puede verificarse — y eso entra directamente como riesgo abierto en la documentación de proveedores del cliente.

Qué documentar para cada cliente multipaís

Cuatro entregables. Ninguno lleva mucho tiempo. Todos se acaban pidiendo.

1. Un mapa de entidades. Cada entidad jurídica, su país, plantilla, facturación y el sector del anexo I o II al que pertenece. Esto le dice qué entidades entran por separado en el ámbito conforme al artículo 26(1)(a).
2. Una nota de establecimiento principal para cada entidad de la lista 26(1)(b). Indique qué paso de la cascada se aplicó, la evidencia que lo respalda y la fecha. Una página basta.
3. El expediente de registro. Portal, fecha de presentación, número de referencia, autoridad competente y la vía de contacto del CSIRT nacional para notificaciones.
4. Datos del representante de cada proveedor de fuera de la UE en la cadena de suministro crítica del cliente, incluido su Estado miembro.

Revise la nota de establecimiento principal cada vez que la función de seguridad se mueva. Trasladar un SOC, externalizar las operaciones de seguridad a otro país o contratar a un CISO en otra ubicación puede desplazar la competencia por la cascada. Ninguna autoridad le avisará.

La mayoría de organizaciones descubre que su suposición sobre la jurisdicción era errónea justo cuando ya se les pide demostrar otra cosa. Nuestro escaneo rápido de NIS2 gratuito recorre ámbito, jurisdicción y las medidas del artículo 21 en unos diez minutos y genera un análisis de brechas que puede llevar directamente al cliente.

El artículo 26 son dos párrafos de texto legal. Aplicarlo mal invalida todo lo que construya encima.