Las plantillas de notificación de incidentes NIS2 son ahora oficiales: qué cambia para sus clientes
Las plantillas de notificación de incidentes NIS2 son ahora oficiales: qué cambia para sus clientes
El 26 de mayo de 2026, el Grupo de Cooperación NIS2 se reunió en Chipre para su 39.ª reunión plenaria y llegó a un acuerdo sobre algo que había faltado desde que la directiva entró en vigor: plantillas comunes para la notificación de incidentes. Todos los Estados miembros de la UE. Un formato único. Por primera vez.
Esto importa más de lo que parece. Antes de esta decisión, el Artículo 23 exigía que las empresas notificaran incidentes significativos en 24 horas, 72 horas y un mes — pero cómo hacerlo dependía de qué autoridad nacional correspondía a su cliente. Un fabricante holandés y un proveedor logístico alemán podían seguir procesos de notificación totalmente diferentes para el mismo tipo de incidente. Esta inconsistencia se está abordando ahora.
El Grupo de Cooperación — compuesto por representantes de todos los Estados miembros de la UE, la Comisión Europea y ENISA — adoptó estas plantillas como primer paso. La Comisión seguirá con un acto de ejecución para hacerlas obligatorias en los 27 Estados miembros.
Qué estandarizan realmente las plantillas
La función principal de las nuevas plantillas es la armonización de los campos de notificación. En lugar de que cada CSIRT nacional defina su propio formulario de admisión, las organizaciones rellenarán los mismos puntos de datos estructurados independientemente de dónde estén registradas.
Espere que las plantillas cubran: clasificación del incidente, sistemas y servicios afectados, número estimado de usuarios impactados, cronología de los eventos, acciones de contención iniciales adoptadas y si están involucrados proveedores externos. No es un cuestionario simplificado — es un formato estructurado diseñado para proporcionar a las autoridades lo que necesitan para evaluar la gravedad rápidamente.
Para sus clientes, esto significa que la alerta temprana de 24 horas ya no es solo una llamada rápida o un correo electrónico. Necesita incluir campos estructurados específicos desde el primer día. Si su cliente no tiene un proceso de respuesta a incidentes vinculado a esos campos, estará improvisando bajo presión.
Cronología de Notificación de Incidentes NIS2
24hAlerta Temprana
Notifique a la autoridad competente (CSIRT/ANC) en las 24 horas siguientes a tener conocimiento de un incidente significativo.
Paso 172hNotificación de Incidente
Presente una notificación detallada en 72 horas con una evaluación inicial de la gravedad, el impacto y los indicadores de compromiso.
Paso 21moInforme Final
Entregue un informe final completo en el plazo de un mes que cubra la causa raíz, las medidas adoptadas y el impacto transfronterizo.
Paso 324hAlerta Temprana
Notifique a la autoridad competente (CSIRT/ANC) en las 24 horas siguientes a tener conocimiento de un incidente significativo.
72hNotificación de Incidente
Presente una notificación detallada en 72 horas con una evaluación inicial de la gravedad, el impacto y los indicadores de compromiso.
1moInforme Final
Entregue un informe final completo en el plazo de un mes que cubra la causa raíz, las medidas adoptadas y el impacto transfronterizo.
Por qué el anuncio del "punto de entrada único" es importante
La adopción de las plantillas no ocurrió de forma aislada. El Grupo de Cooperación alineó explícitamente estas plantillas con una iniciativa más amplia: el Digital Omnibus, un marco europeo propuesto que crearía un punto de entrada único para la notificación de incidentes bajo múltiples reglamentos — NIS2, DORA, la Directiva sobre la Resiliencia de Entidades Críticas (CER) y otros.
Actualmente, una empresa de servicios financieros que es tanto una "entidad esencial" NIS2 como sujeta a DORA puede tener que notificar el mismo incidente dos veces, a dos autoridades diferentes, en dos formatos diferentes. El Digital Omnibus pretende solucionar eso.
Para los MSP y consultores de TI que sirven a sectores regulados — banca, seguros, fintech, sanidad — esta convergencia es significativa. Sus manuales de respuesta a incidentes y flujos de trabajo de comunicación con clientes ya deberían estar construidos teniendo en cuenta la superposición de múltiples regulaciones. Si no lo están, empiece por ahí.
El acto de ejecución será crítico de seguir. Una vez publicado en el Diario Oficial, las autoridades de los Estados miembros estarán obligadas a aceptar estas plantillas. Hasta entonces, sus clientes siguen operando bajo el proceso nacional establecido por su autoridad.
Artículo 23: Un repaso rápido de los plazos
Las nuevas plantillas encajan en una estructura de notificación existente del Artículo 23. Esa estructura no ha cambiado. Lo que cambia es lo que necesita tener listo en cada etapa.
Alerta temprana de 24 horas: Notificación a su CSIRT nacional o autoridad competente de que ha ocurrido un incidente significativo. "Significativo" significa que el incidente causa o podría causar graves perturbaciones operativas o pérdidas financieras, o afecta a otras personas causando daños materiales o inmateriales considerables.
Notificación de incidente de 72 horas: Un informe más detallado que incluye la evaluación inicial del incidente — gravedad, indicadores de compromiso y cualquier impacto transfronterizo. Con las plantillas comunes ahora adoptadas, este informe deberá coincidir con el formato estructurado una vez que el acto de ejecución esté en vigor.
Informe final de un mes: Cuenta completa del incidente que incluye análisis de causa raíz, acciones de respuesta y medidas tomadas o planificadas para evitar la recurrencia.
El punto de fallo más común para las organizaciones es el salto de 24h a 72h. La alerta temprana a menudo se emite con mínimos detalles. Luego llegan las 72 horas y no hay documentación, no hay datos estructurados, y el incidente sigue en curso. Su trabajo como consultor es construir el proceso antes de que ocurra un incidente — no durante.
Cronología de Notificación de Incidentes NIS2
24hAlerta Temprana
Notifique a la autoridad competente (CSIRT/ANC) en las 24 horas siguientes a tener conocimiento de un incidente significativo.
Paso 172hNotificación de Incidente
Presente una notificación detallada en 72 horas con una evaluación inicial de la gravedad, el impacto y los indicadores de compromiso.
Paso 21moInforme Final
Entregue un informe final completo en el plazo de un mes que cubra la causa raíz, las medidas adoptadas y el impacto transfronterizo.
Paso 324hAlerta Temprana
Notifique a la autoridad competente (CSIRT/ANC) en las 24 horas siguientes a tener conocimiento de un incidente significativo.
72hNotificación de Incidente
Presente una notificación detallada en 72 horas con una evaluación inicial de la gravedad, el impacto y los indicadores de compromiso.
1moInforme Final
Entregue un informe final completo en el plazo de un mes que cubra la causa raíz, las medidas adoptadas y el impacto transfronterizo.
Lo que los MSP y consultores de TI deben hacer ahora
1. Mapear las cadenas de notificación de sus clientes
Cada cliente que se califica como entidad esencial o importante necesita una cadena de notificación de incidentes documentada: quién activa el informe, quién lo redacta, quién lo envía y a qué autoridad. Esto suena básico. La mayoría de las organizaciones no lo tienen escrito.
2. Integrar previamente los campos de plantilla en su proceso de IR
Aunque el acto de ejecución aún no se ha publicado, los campos de plantilla se pueden anticipar a partir de los requisitos estándar de admisión de CSIRT. Cree ahora una plantilla de informe de incidentes provisional con los campos estructurados esperados. Cuando se publiquen las plantillas oficiales, solo necesitará hacer ajustes menores — no reconstruir desde cero.
3. Aclarar sus obligaciones contractuales
Si proporciona SOC gestionado, respuesta a incidentes o servicios de monitorización de seguridad para un cliente cubierto por NIS2, revise su contrato. ¿Es usted contractualmente responsable de enviar notificaciones de incidentes en su nombre? Si es así, sus plazos de SLA deben tener en cuenta la alerta temprana de 24 horas — incluidas noches y fines de semana.
Muchos contratos de MSP se redactaron antes de que NIS2 se aplicara plenamente. Ahora que la aplicación está activa en varios Estados miembros y el marco regulatorio se estrecha, esos contratos necesitan actualización.
4. Incorporar la preparación para la notificación en sus análisis de brechas
Un cliente puede tener controles técnicos sólidos y aun así fallar en una revisión regulatoria porque su proceso de notificación de incidentes no cumple los requisitos del Artículo 23. La preparación para la respuesta a incidentes debería ser una sección independiente en cualquier análisis de brechas NIS2 que realice.
Use el NIS2Certify quick scan para obtener una línea base de dónde se encuentran sus clientes en todas las medidas del Artículo 21 — incluido el manejo de incidentes — antes de su primer contacto regulatorio.
Artículo 21 — 10 Medidas de Ciberseguridad NIS2
Artículo 21
10 Medidas de Ciberseguridad
Gobernanza & Estrategia
1Análisis de riesgos & políticas de seguridad de la información6Evaluación de la eficacia de las medidas de seguridadIncidentes & Continuidad
2Gestión de incidentes & notificación3Continuidad del negocio & recuperación ante desastresCadena de Suministro & Sistemas
4Seguridad de la cadena de suministro5Seguridad en el desarrollo de sistemas de redes e informaciónControles Técnicos
8Criptografía & cifrado10Autenticación multifactor & comunicaciones segurasPersonas & Activos
7Ciberhigiene & formación9Seguridad de RRHH & control de acceso
El panorama general: la aplicación está aquí
La adopción de las plantillas no ocurrió en el vacío. Es parte de un endurecimiento más amplio de la aplicación de NIS2 en toda la UE en 2026.
El BSI alemán comenzó la aplicación activa en el primer trimestre de 2026. Bélgica abrió su ventana formal de evaluación de conformidad el 18 de abril de 2026 — el primer Estado miembro en fijar un plazo de auditoría estricto. La ACN italiana categorizó las entidades y fijó un plazo de presentación para junio de 2026. Los Países Bajos publicaron la Ley de Ciberseguridad y ahora están realizando sus primeros ciclos de revisión.
Francia aún está finalizando su transposición, pero ANSSI publicó en marzo de 2026 el ReCyF (Référentiel Cyber France) v2.5 — un marco de 152 medidas alineado con NIS2 que se espera que las entidades francesas sigan incluso antes de que la ley se apruebe formalmente.
Lo que esto significa: sus clientes ya no pueden tratar NIS2 como un problema futuro. Las autoridades están activas, las auditorías están comenzando, y los procesos de notificación de incidentes serán examinados en la primera ola de evaluaciones.
Para cada cliente que aún no ha evaluado: el momento de cerrar esa brecha es ahora — no después de su primer incidente.
Qué vigilar a continuación
Dos cosas a seguir de cerca:
El calendario del acto de ejecución: La Comisión Europea aún no ha publicado un borrador del acto de ejecución. Cuando aparezca en el Diario Oficial, comenzará el reloj para la adopción obligatoria. Monitoree el feed de EUR-Lex para cualquier referencia al Artículo 23 de NIS2.
El progreso del Digital Omnibus: La propuesta para un punto de entrada único para la notificación de incidentes sigue siendo una propuesta. Pero si avanza, reconfigurará significativamente cómo las entidades con múltiples regulaciones manejan la notificación. Los MSP del sector financiero en particular deberían monitorear esto de cerca — afectará cómo DORA y NIS2 se superponen en la práctica. Vea también nuestro artículo sobre NIS2 vs DORA para el estado actual de esa superposición.
Conclusión
La UE acaba de hacer el reporte de incidentes más simple en papel. En la práctica, eleva el listón: las plantillas estructuradas significan que las autoridades ahora pueden comparar y escrutar informes en todos los Estados miembros, y las presentaciones inconsistentes o incompletas destacarán.
Si sus clientes no tienen un proceso de notificación de incidentes documentado y practicado, están expuestos. No solo a multas — sino al tipo de escrutinio regulatorio que sigue a un mal manejo de incidentes.
Empiece por el proceso. Ponga la documentación en su lugar. Luego asegúrese de que la postura de cumplimiento NIS2 de sus clientes lo refleje.
→ Ejecute una evaluación estructurada de preparación NIS2 para sus clientes en nis2certify.org/quick-scan.