NIS2 notificación de incidentes y RGPD: dos plazos, un solo incidente

Sábado, 02:10. El servidor de archivos de su cliente, una cadena de clínicas valenciana, empieza a cifrar datos. A las 08:00 sabe tres cosas: el atacante está dentro, en ese servidor hay historiales de pacientes, y el reloj corre desde que usted tuvo conocimiento. Toca una alerta temprana NIS2 en 24 horas. Probablemente toca también una notificación RGPD a la AEPD en 72 horas. Dos destinatarios, dos formatos, y ninguna notificación sustituye a la otra.

Es el problema de la doble notificación. Cae primero sobre el MSP, porque el MSP suele tener los registros.

NIS2 y RGPD: dos regímenes, un solo incidente

NIS2 (Directiva (UE) 2022/2555) protege la continuidad y la seguridad de los servicios. El RGPD (Reglamento (UE) 2016/679) protege a las personas cuyos datos personales quedan expuestos. Un incidente puede vulnerar ambos.

El artículo 23 de NIS2 prevé tres pasos para un incidente significativo: una alerta temprana en las 24 horas siguientes a tener conocimiento, una notificación del incidente en 72 horas y un informe final a más tardar un mes después de esa notificación. El artículo 33 del RGPD exige notificar a la autoridad de control en un plazo de 72 horas desde que se tiene constancia de una violación de la seguridad de los datos personales, salvo que sea improbable que suponga un riesgo para las personas. El artículo 34 añade la comunicación a los afectados cuando el riesgo es alto.

Los dos relojes suelen arrancar a la vez. No terminan a la vez. La alerta temprana NIS2 de 24 horas vence antes, así que sale primero.

Una notificación nunca cubre las dos

Un aviso a la autoridad de ciberseguridad no cumple la obligación del RGPD. Una notificación a la AEPD no inicia ni detiene la cascada NIS2. Cambian el destinatario, el desencadenante y el contenido. La notificación NIS2 pregunta por el impacto operativo y los indicadores técnicos. La del RGPD, por las categorías de datos, el número de afectados y las consecuencias probables para ellos.

NIS2 reconoce el solapamiento. Sus considerandos piden cooperación entre las autoridades competentes y las de protección de datos, y el artículo 35 trata las infracciones que implican datos personales. Esa cooperación se da entre autoridades. No reduce la carga de su cliente.

La cronología de un incidente que afecta a datos personales

Trate las primeras 72 horas como una sola operación con dos salidas.

En la práctica, tres hábitos:

1. Presentar primero la alerta temprana NIS2, aunque sea incompleta. Es una señal, no un análisis terminado. Diga lo que sabe y marque lo que no.
2. Registrar los hechos una sola vez. Cronología, sistemas afectados, categorías de datos, número estimado de afectados, medidas de contención. Las dos notificaciones reutilizan ese expediente.
3. Calificar dos veces. «Incidente significativo» en NIS2 y «riesgo para las personas» en el RGPD son pruebas distintas. Un incidente puede superar una y no la otra.

Para el lado NIS2 en detalle, vea NIS2: los plazos de 24 horas, 72 horas y un mes.

España: el RGPD ya obliga, NIS2 aún no es ley nacional

España no ha transpuesto NIS2. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue pendiente de debate parlamentario, y el reparto de funciones entre CCN, INCIBE y las autoridades sectoriales no está cerrado. La Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por esta falta de transposición. Para el contexto, vea dónde están los tres países sin ley.

Hoy no hay, por tanto, un plazo NIS2 legal nacional para sus clientes españoles. Sí hay un plazo RGPD. La notificación a la AEPD en 72 horas es una obligación firme, y es la que ordena la respuesta a incidentes de un cliente español. Si ese cliente suministra a una entidad de un país donde NIS2 ya está transpuesta, el contrato puede imponerle plazos de tipo NIS2, a veces más cortos.

Si el cliente tiene sedes en otros países, la notificación cambia:

• Alemania: portal del BSI (§ 32 BSIG); la notificación RGPD va a la autoridad de protección de datos competente.
• Países Bajos: NCSC como CSIRT; notificación RGPD a la Autoriteit Persoonsgegevens.
• Italia: ACN a través de CSIRT Italia (artículo 25 del D.Lgs. 138/2024); notificación RGPD al Garante.
• Polonia: el CSIRT competente (NASK, GOV o MON); notificación RGPD a la UODO.
• Francia: sin ley nacional NIS2 en vigor; el RGPD ante la CNIL se aplica igualmente en 72 horas.

Se propone una ventanilla única, no está en vigor

La Comisión Europea propone en el Digital Omnibus un punto único de entrada para las notificaciones de incidentes, gestionado por ENISA, mediante un nuevo artículo 23 bis de NIS2. Según lo publicado en julio de 2026, la notificación RGPD pasaría al umbral de «alto riesgo» y el plazo de 72 a 96 horas. Las negociaciones entre Parlamento y Consejo seguían abiertas entonces. La ventanilla se aplicaría 18 meses después de la entrada en vigor, ampliables a 24.

No construya el proceso de un cliente sobre una propuesta. Construya para la norma vigente y mantenga el proceso modular, de modo que un portal nuevo cambie un paso y no todos.

Qué dejar listo antes del incidente

Al MSP se le culpa de las notificaciones tardías aunque la obligación sea del cliente. La dirección del cliente sigue siendo responsable. Su trabajo es hacer ejecutable la obligación.

• Una hoja de decisión de una página: quién decide «significativo», quién decide «violación de datos», quién autoriza en horas.
• Datos de contacto precargados del CSIRT y de la AEPD, y de las autoridades extranjeras en clientes internacionales.
• Un expediente de incidente compartido con campos que encajen en ambas notificaciones.
• Una regla: la alerta temprana sale al cumplirse las 24 horas, sea cual sea el estado del análisis.
• Una justificación escrita siempre que el equipo decida no notificar. Los reguladores la piden.

Esto es el terreno del artículo 21, apartado 2, letra b. Nuestra guía sobre la gestión de incidentes NIS2 muestra por qué ese proceso suspende más auditorías que la propia notificación.

Mida la brecha antes de la llamada del sábado

Si hoy no puede decir quién presenta la alerta temprana y quién la notificación RGPD de cada cliente, ha encontrado la brecha. Haga el Quick Scan NIS2 para ver cómo están la gestión de incidentes y la capacidad de notificación de un cliente frente a las medidas del artículo 21.

Después anote los dos relojes, nombre a los dos responsables y pruebe el proceso una vez antes de que sea real. Para la visión general del MSP, vea NIS2 para MSP y MSSP.