Notificación de incidentes NIS2: los plazos de 24 horas, 72 horas y 1 mes explicados
Bajo NIS2, la notificación de incidentes no es opcional ni flexible. Cuando ocurre un incidente significativo, tienes 24 horas para tu notificación inicial. Veinticuatro horas desde el momento en que tienes conocimiento.
Las tres etapas de notificación
Cronología de Notificación de Incidentes NIS2
Alerta Temprana
Notifique a la autoridad competente (CSIRT/ANC) en las 24 horas siguientes a tener conocimiento de un incidente significativo.
Notificación de Incidente
Presente una notificación detallada en 72 horas con una evaluación inicial de la gravedad, el impacto y los indicadores de compromiso.
Informe Final
Entregue un informe final completo en el plazo de un mes que cubra la causa raíz, las medidas adoptadas y el impacto transfronterizo.
Alerta Temprana
Notifique a la autoridad competente (CSIRT/ANC) en las 24 horas siguientes a tener conocimiento de un incidente significativo.
Notificación de Incidente
Presente una notificación detallada en 72 horas con una evaluación inicial de la gravedad, el impacto y los indicadores de compromiso.
Informe Final
Entregue un informe final completo en el plazo de un mes que cubra la causa raíz, las medidas adoptadas y el impacto transfronterizo.
Etapa 1: Alerta temprana — en 24 horas
Si fue causado por actos malintencionados y si podría tener impacto transfronterizo.
Etapa 2: Notificación — en 72 horas
Evaluación inicial de gravedad e impacto, indicadores de compromiso.
Etapa 3: Informe final — en 1 mes
Descripción detallada, análisis de causas, medidas correctivas.
¿Qué es un "incidente significativo"?
¿Es este un incidente significativo según la NIS2?
¿Ha causado o podría causar el incidente una interrupción significativa de sus servicios o daños económicos?
¿Ha afectado o podría afectar el incidente a otras organizaciones o personas?
Es probable que no se trate de un incidente significativo — realice un seguimiento y documéntelo para uso interno.
Este incidente se considera significativo — inicie de inmediato los procedimientos de notificación NIS2.
¿Ha provocado el incidente una pérdida significativa de datos o una violación de la confidencialidad?
¿Ha causado o podría causar el incidente una interrupción significativa de sus servicios o daños económicos?
¿Ha afectado o podría afectar el incidente a otras organizaciones o personas?
¿Ha provocado el incidente una pérdida significativa de datos o una violación de la confidencialidad?
Es probable que no se trate de un incidente significativo — realice un seguimiento y documéntelo para uso interno.
Este incidente se considera significativo — inicie de inmediato los procedimientos de notificación NIS2.
En caso de duda: notifica. Es mejor notificar innecesariamente que incumplir el plazo de 24 horas.
¿A quién notificar?
| País | Autoridad competente | CSIRT |
|---|---|---|
| España | CCN-CERT / INCIBE | CCN-CERT / INCIBE-CERT |
| Bélgica | CCB | CERT.be |
| Alemania | BSI | CERT-Bund |
| Países Bajos | RDI (previsto) | NCSC-NL |
| Francia | ANSSI | CERT-FR |
| Italia | ACN | CSIRT Italia |
| Polonia | NASK (previsto) | CERT Polska |
Construye tu proceso de notificación
| Tiempo | Acción |
|---|---|
| T+0 | Incidente detectado — el reloj arranca |
| T+1h | Primera evaluación: ¿potencialmente significativo? |
| T+4h | Informar a la dirección |
| T+24h | PLAZO: Enviar alerta temprana |
| T+72h | PLAZO: Enviar notificación de incidente |
| T+1 mes | PLAZO: Enviar informe final |
¿Y el RGPD?
Obligaciones separadas. La notificación NIS2 no sustituye la del RGPD. Coordina ambas.
Empieza con un quickscan gratuito
Nuestro quickscan NIS2 gratuito incluye una evaluación de tu preparación para la notificación de incidentes.
Lee también
¿Tienes otra pregunta?
Las respuestas se generan a partir de nuestros artículos y no constituyen asesoramiento jurídico. No introduzcas datos personales o confidenciales.