Directiva NIS2: ¿qué significa para los titulares de dominios?

La Directiva NIS2 (Network and Information Security Directive 2), desarrollada por la Unión Europea, cambia los requisitos de ciberseguridad de las infraestructuras críticas y afecta además a otros sectores de toda Europa.

INWX también se ve afectado como registrador de dominios. NIS2 obliga a los registradores y a los registros (las entidades que gestionan las extensiones de dominio) a garantizar que los datos de los titulares de dominios sean correctos.

En Alemania, la ley derivada de la directiva entró en vigor el 6 de diciembre de 2025. A partir del 14 de abril de 2026 también se aplican las nuevas normas de DENIC, el registro de los dominios .de.

¿Qué significa esto en concreto para ti como titular de un dominio? Este artículo te muestra qué requisitos de NIS2 te afectan y qué pasos tienes que dar.

¿Qué es la Directiva NIS2? Un breve resumen

La Directiva NIS2, oficialmente Directiva (UE) 2022/2555, es el marco jurídico europeo para proteger las redes y los sistemas de información. Establece normas de ciberseguridad comunes y cambia así los requisitos de seguridad en Europa.

NIS2 sustituye a la directiva NIS original de 2016 y va bastante más lejos: en lugar de siete sectores, abarca ahora 18. Entre las novedades figuran los servicios de registro de dominios, los centros de datos y los proveedores de servicios gestionados.

La directiva de la UE entró en vigor el 16 de enero de 2023. Desde cuándo es obligatoria depende de cada país. Los Estados miembros la transponen a su derecho nacional, y lo hacen con calendarios distintos. Alemania aprobó la ley de transposición el 6 de diciembre de 2025. En Austria entra en vigor en octubre de 2026.

Como NIS2 es solo una directiva, la aplicación concreta y los requisitos varían según el país. El texto completo lo encuentras en EUR-Lex.

¿A quién afecta la Directiva NIS2 y por qué también a los titulares de dominios?

NIS2 afecta a 18 sectores en total. Incluye ámbitos clásicos como energía, transporte, salud y finanzas, y también infraestructuras digitales. El artículo 28 se dirige expresamente a registradores y registros. Por eso INWX también está sujeto a estos requisitos legales.

En concreto, el artículo 28 establece que los registradores y los registros deben garantizar que los datos de los titulares sean completos, correctos y localizables. Al registrar un dominio hay que recoger datos como nombre, correo electrónico, dirección y número de teléfono. Además hay que validarlos y, en determinadas circunstancias, verificarlos.

Si tú o tu empresa habéis registrado un dominio, NIS2 también os afecta de forma indirecta, aunque tu empresa no trabaje en un sector clásico de NIS2.

Una de las razones de estas nuevas obligaciones es el aumento constante de la ciberdelincuencia, como el phishing, las estafas y el fraude. Si estos ataques se realizan con dominios con datos de registro falsos o incompletos, nadie puede responder por ellos.

En Alemania, la NIS2 cierra justo esa laguna: solo con datos correctos se pueden rastrear y detener las actividades delictivas. Con datos verificados resulta mucho más difícil esconderse detrás de un dominio. Eso te protege a ti, a otras personas usuarias de internet y a la infraestructura digital en su conjunto.

En la práctica, la verificación depende de dos factores:

• La extensión del dominio: Cuenta la ley nacional a la que está sujeto el registro. Los registros aplican las leyes de su país y exigen nuevos requisitos sobre los datos de registro. Después, los registradores aplican esos requisitos.
• El país del registrador: El propio registrador está sujeto a la legislación de su país. Como registrador alemán, INWX sigue la NIS2 en Alemania y la información actual del BSI sobre su aplicación.

Esto significa que tenemos que cumplir tanto los requisitos alemanes de NIS2 como las condiciones de cada registro.

¿Qué cambia en concreto para los titulares de dominios?

La verificación del correo electrónico pasa a ser obligatoria

Una de las obligaciones de NIS2 es verificar las direcciones de correo electrónico. Si no se verifica, tu dominio se desactiva. Todos los servicios vinculados a él dejan de estar accesibles por el momento. Cuando confirmas la dirección, el dominio se vuelve a activar.

Recordatorios anuales para revisar los datos

Cada año, en la fecha de renovación de tu dominio, te enviamos un correo para que revises los datos de contacto del dominio y, si hace falta, los corrijas. Así tus datos se mantienen siempre actualizados.

Cambios en WHOIS y RDAP

WHOIS y RDAP son bases de datos en las que cualquiera puede consultar información sobre los titulares de dominios. Encuentras más información en nuestro artículo sobre qué es WHOIS y qué datos contiene.

Con NIS2 ha cambiado lo siguiente en algunas extensiones, como .de: los datos de empresas y organizaciones ahora son visibles públicamente. Por eso recomendamos usar datos de contacto neutros para el correo y el teléfono, sin relación con personas concretas.

Los datos de las personas físicas siguen ocultos. Aquí no ha cambiado nada.

Verificación de los contactos del dominio

Para asegurar que los datos son correctos, puede iniciarse una verificación adicional para algunos contactos de dominio. No afecta directamente a todos los titulares, y no hay que verificar todos los datos. Si tus datos están completos y son correctos, normalmente no pasa nada.

Solo se solicita una verificación cuando hay indicios de que los datos facilitados no son correctos. Las comprobaciones de riesgo y las posibles verificaciones posteriores suelen activarse con ciertas acciones. Son, por ejemplo, los registros nuevos, las actualizaciones, las restauraciones, los cambios de proveedor o los cambios en los datos de contacto.

Quién realiza esa comprobación de riesgo y las verificaciones NIS2 posteriores depende del registro. La solicitud de verificación puede venir del registrador INWX o del registro correspondiente.

¿Qué hace INWX y qué tienes que hacer tú como titular?

Como registrador, INWX está directamente afectado por NIS2 y actúa. Ya hemos aplicado varias medidas para cumplir los nuevos requisitos.

INWX hace de interfaz entre los registros nacionales y tú. Reenviamos las solicitudes de verificación, pero también podemos actuar por nuestra cuenta si sospechamos que hay datos erróneos.

¿Cómo funciona en concreto la verificación del correo electrónico en INWX?

Si el correo electrónico del contacto del dominio aún no está verificado, recibes un correo con un enlace de confirmación cuando registras un dominio nuevo. Después tienes 14 días para confirmar ese enlace. Este proceso existe desde hace tiempo para los gTLD, por el Acuerdo de Acreditación de Registradores (RAA) de la ICANN de 2013. Con NIS2 se ha ampliado también a los ccTLD.

¿Cómo funciona la verificación del nombre y la dirección?

Siempre que es posible, validamos tus datos automáticamente, por ejemplo con bases de datos de direcciones o con la información de transferencias online. Si no es posible y hace falta verificar, la verificación se hace con documentos. Recibes entonces un correo en el que te pedimos que verifiques tu contacto del dominio con un documento. Lo subes en nuestra área de cliente. Con él comprobamos tus datos y completamos la verificación.

Paso a paso: comprobar y verificar los datos de contacto en INWX

Tu responsabilidad como titular del dominio

Como titular de un dominio, eres responsable de que los datos facilitados al registrar un dominio sean correctos y estén actualizados.

Fíjate sobre todo en rellenar bien el campo „Empresa”. Si está rellenado, la empresa indicada se considera titular del dominio. La persona indicada es solo la persona de contacto. Si dejas el campo „Empresa” vacío, el titular es una persona física.