Notificación de incidentes NIS2: plazos de 24 y 72 horas

El artículo 23 de NIS2 fija tres plazos de notificación para los incidentes significativos: una alerta temprana en un plazo de 24 horas desde que se tiene conocimiento, una notificación de incidente en un plazo de 72 horas y un informe final en el plazo de un mes. ISO 27001 y la mayoría de los marcos exigen la gestión de incidentes, pero ninguno exige notificar a un regulador con ese reloj. Así se diseña un procedimiento que lo cumple.

Los tres informes

Informe	Plazo	Contenido
Alerta temprana	24 horas desde el conocimiento	Si se sospecha que el incidente es malintencionado y si podría tener impacto transfronterizo
Notificación del incidente	72 horas desde el conocimiento	Una actualización, una evaluación inicial de la gravedad y del impacto, e indicadores de compromiso cuando estén disponibles
Informe final	Un mes después de la notificación	Descripción detallada, causa raíz probable, mitigación aplicada y en curso, impacto transfronterizo

La autoridad también puede solicitar actualizaciones intermedias. Si el incidente sigue activo al cabo de un mes, se presenta un informe de progreso y un informe final en el plazo de un mes desde que se gestiona el incidente.

Paso 1: defina «significativo» para su organización

La prueba del artículo 23(3) es amplia: grave perturbación operativa o pérdida financiera, o daño considerable a terceros. Para ciertos proveedores digitales, el Reglamento de Ejecución fija criterios más específicos. Conviértalos en una lista de decisión breve que su responsable de guardia pueda aplicar en minutos, con ejemplos, e indique claramente que, en caso de duda, se envía la alerta temprana.

Paso 2: nombre a las personas

• Quién decide la significancia (y un suplente, a cualquier hora).
• Quién presenta la notificación ante el CSIRT o la autoridad, con acceso al portal de notificación probado de antemano.
• Quién aprueba el contenido, sin que la aprobación se convierta en un cuello de botella. Una alerta temprana necesita poco detalle.
• Quién informa a la dirección, que según el artículo 20 es responsable.

Paso 3: conéctelo con su proceso de incidentes

Añada un punto de decisión sobre notificación a su plan de respuesta a incidentes existente: en la clasificación inicial, pregunte «¿podría ser significativo?» e inicie allí el registro del reloj. Registre con cuidado la hora del conocimiento; es el momento desde el que se miden todos los plazos.

Paso 4: coordine los otros plazos

Un incidente significativo suele activar más de una obligación:

• RGPD [GDPR]: notificar a la autoridad de control en un plazo de 72 horas si se violan datos personales (artículo 33).
• Contratos: cláusulas de notificación a clientes, a menudo de 24 a 72 horas.
• Otros regímenes: marcas de pago para datos de tarjetas, reguladores sectoriales y DORA para entidades financieras.

Un único coordinador debe ser responsable de la lista, para que ningún plazo se pase por alto porque otro equipo asumió que era suyo.

Paso 5: plantillas y práctica

Prepare plantillas para cada uno de los tres informes con los campos requeridos, precargadas con los datos de la empresa. Después, realice un ejercicio al menos una vez al año, idealmente empezando un viernes por la tarde, y cronométrelo.

Un escenario de práctica

Para probar el procedimiento, realice un ejercicio breve como este, idealmente empezando tarde un viernes:

1. Hora 0: la monitorización detecta actividad de cifrado inusual en un servidor de archivos que da soporte a un servicio de cara al cliente.
2. Hora 2: el ingeniero de guardia confirma ransomware en varios servidores; el servicio está degradado para algunos clientes.
3. Punto de decisión: ¿es significativo? Aplique su lista de verificación y registre la decisión y la hora.
4. Antes de la hora 24: presente una alerta temprana con la plantilla, indicando la posible actividad malintencionada y el posible impacto transfronterizo.
5. Antes de la hora 72: presente la notificación con una evaluación inicial e indicadores de compromiso.
6. Relojes paralelos: ¿los datos personales activan la notificación del RGPD [GDPR]? ¿Los contratos exigen aviso a los clientes?

Cronometre cada paso. Las carencias que encuentre (quién tiene acceso al portal, quién puede aprobar, dónde están las plantillas) son las debilidades reales del procedimiento.

Conserve los registros

Registre cada incidente evaluado por su significancia, incluidos los que decidió no notificar, con el razonamiento. Las autoridades de supervisión preguntarán cómo decide, no solo qué notificó.

Las páginas de tema Respuesta a incidentes y Notificación comparan los requisitos entre marcos, y la guía de NIS2 cubre el resto del reglamento.

Preguntas

¿Qué se considera un incidente significativo según NIS2?

Según el artículo 23(3), un incidente que haya causado o pueda causar una grave perturbación operativa o una pérdida financiera a la entidad, o que haya afectado o pueda afectar a otros causando daños materiales o inmateriales considerables. El Reglamento de Ejecución fija umbrales más específicos para ciertos proveedores digitales.

¿A quién se notifica en virtud de NIS2?

Al CSIRT nacional o a la autoridad competente designada conforme a la ley de NIS2 de su Estado miembro. Algunos países utilizan un único punto de notificación.