Notificación de incidente NIS2: ¿qué hay que declarar a las 24 horas, 72 horas y 1 mes?
·
Por 
Bertrand Bucelle · 5 min de lectura
¿Qué es un «incidente importante»?
No todo se notifica. El artículo 23, apartado 3, califica de importante el incidente que:
- ha causado o es susceptible de causar una perturbación operativa grave de los servicios o pérdidas financieras para la entidad; o
- ha afectado o es susceptible de afectar a otras personas físicas o jurídicas causando daños materiales, corporales o morales considerables.
Un ransomware que cifra la producción, una indisponibilidad prolongada de un servicio esencial, una compromisión que expone los datos de clientes entran en la definición. Un puesto de trabajo aislado reinstalado en una hora, no. La calificación debe hacerse rápidamente, por una persona designada, según criterios escritos de antemano: es la primera prueba de su procedimiento. En caso de duda sobre el umbral, notificar es la opción segura, estando la alerta temprana precisamente concebida para ser emitida en situación de incertidumbre.
Los tres plazos, contenido por contenido
| Plazo | Documento | Contenido esperado |
|---|---|---|
| 24 h tras tener conocimiento | Alerta temprana | Notificación del incidente; precisar si se sospecha un origen ilícito o malintencionado y si es posible un impacto transfronterizo |
| 72 h | Notificación de incidente | Actualización de la alerta: primera evaluación del incidente (gravedad, impacto), indicadores de compromiso disponibles |
| A petición de la autoridad | Informe intermedio | Estado de avance de la gestión del incidente |
| 1 mes tras la notificación | Informe final | Descripción detallada (gravedad, impacto), tipo de amenaza y causa raíz probable, medidas de mitigación aplicadas y en curso, impacto transfronterizo en su caso |
Si el incidente continúa en curso en la fecha del informe final, la entidad presenta un informe de avance y, posteriormente, el informe final en el mes siguiente al tratamiento efectivo del incidente. La alerta temprana no es una confesión: también activa la asistencia del CSIRT, que debe responder en 24 horas con primeras orientaciones.
¿A quién más notificar además de la autoridad?
- Los destinatarios de sus servicios: cuando una ciberamenaza importante pueda afectarles, el artículo 23, apartado 2, obliga a comunicarles las medidas y remedios que pueden aplicar y, en su caso, la amenaza misma.
- La autoridad de protección de datos y las personas afectadas si el incidente conlleva una violación de datos personales: notificación a la autoridad en 72 horas (artículo 33 del RGPD) e información a las personas en caso de riesgo elevado (artículo 34). Ambos plazos corren en paralelo, no uno tras otro.
- Sus clientes regulados si usted es proveedor: sus contratos prevén ahora cláusulas de notificación, a menudo más cortas que la ley (véase el artículo sobre encargados).
- El asegurador ciber, según la póliza, so pena de pérdida de cobertura.
El dispositivo interno que hace viables los plazos
Veinticuatro horas es poco tiempo un sábado por la noche. Cinco elementos marcan la diferencia:
- Un responsable designado (y su suplente) autorizado para calificar el incidente y activar la notificación, localizable de guardia.
- Criterios de calificación escritos con ejemplos específicos de su actividad, revisados anualmente.
- Modelos precumplimentados de alerta temprana y de notificación: en situación de crisis, se completa un formulario, no se redacta.
- Un registro cronológico desde la detección: alimenta los tres plazos y protege al directivo (véase su responsabilidad).
- Un ejercicio anual que incluya la notificación en blanco: es el requisito de gestión de crisis del artículo 21, y la única manera de saber si la cadena funciona en condiciones reales.
Los cinco errores que salen caros
- Esperar a haberlo comprendido todo: la alerta temprana se realiza sobre la base de los elementos disponibles; el detalle llega a las 72 horas y en el informe final.
- Confundir incidente NIS2 y violación del RGPD: los perímetros se solapan sin confundirse; un sabotaje sin datos personales se notifica a la agencia francesa de ciberseguridad (ANSSI), no a la autoridad francesa de protección de datos (CNIL), y a la inversa, una fuga de archivo de RR.HH. puede no ser un incidente NIS2 importante.
- Notificar sin informar a la dirección: el órgano de dirección supervisa la gestión de riesgos; mantenerlo al margen debilita su posición jurídica.
- Descuidar a los clientes: la obligación de información a los destinatarios es autónoma y su olvido se paga en litigios contractuales.
- No cerrar: el informe final al mes es el que se olvida; establezca un plazo automático en la herramienta de gestión de incidentes.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el software NIS2 →Evaluar mi cumplimiento NIS2 →Fuentes
- Directiva (UE) 2022/2555 (NIS2), artículo 23 (y artículo 30 sobre la notificación voluntaria), EUR-Lex.
- Reglamento (UE) 2016/679 (RGPD), artículos 33 y 34, EUR-Lex.
- ANSSI, MesServicesCyber y CERT-FR: asistencia y notificación de incidentes.