Notificación de incidentes en la NIS2: los plazos de 24 horas, 72 horas y un mes

El artículo 23 de la NIS2 establece un calendario de notificación estricto para los incidentes significativos. El plazo empieza a contar cuando usted tiene conocimiento del incidente, no cuando termina de investigarlo.

¿Qué es un incidente significativo?

Un incidente es significativo si ha causado o puede causar una perturbación operativa grave de sus servicios o pérdidas económicas para su organización, o si ha afectado o puede afectar a otras personas físicas o jurídicas al causarles perjuicios materiales o inmateriales considerables (art. 23.3).

Para los proveedores de infraestructura digital y de servicios gestionados, el Reglamento de Ejecución (UE) 2024/2690 añade umbrales concretos, por ejemplo, una pérdida económica directa superior a 500 000 euros o al 5 % del volumen de negocios anual, si esta cifra es inferior.

El calendario

• En un plazo de 24 horas: una alerta temprana que indique si se sospecha que el incidente es malintencionado y si podría tener repercusiones transfronterizas.
• En un plazo de 72 horas: una notificación del incidente con una evaluación inicial, su gravedad y su impacto, y los indicadores de compromiso, si se dispone de ellos.
• Previa solicitud: informes intermedios.
• En el plazo de un mes desde la notificación: un informe final con una descripción detallada, la causa raíz, las medidas de mitigación y cualquier repercusión transfronteriza.

Por qué la mayoría de las organizaciones incumplen el primer plazo

Veinticuatro horas no bastan para averiguar quién decide si un incidente es significativo, dónde está el formulario de notificación y quién está autorizado a enviarlo. Esas decisiones deben tomarse de antemano.

• Designe quién decide si un incidente es significativo y quién lo notifica, con sus suplentes.
• Conserve en papel el canal de notificación de la autoridad y una hoja de contactos, por si el correo electrónico está comprometido.
• Acuerde un canal de comunicación alternativo para el equipo de respuesta.
• Obligue por contrato a los proveedores que alojan u operan sus sistemas a notificarle con rapidez.
• Ensaye una vez al año con un ejercicio de simulación.

¿También hay datos personales?

Si el incidente afecta también a datos personales, el RGPD exige una notificación independiente a la autoridad de protección de datos en un plazo de 72 horas (art. 33 del RGPD). Prepárese para ambas.

Nuestro kit NIS2 incluye un procedimiento de respuesta y notificación de incidentes con la prueba de significatividad, plantillas de informe para cada plazo y un escenario de ejercicio de simulación.