Notificación de incidentes conforme a NIS2: 24 h / 72 h / 1 mes

La Directiva NIS2 establece tres plazos sucesivos para notificar incidentes significativos de ciberseguridad. Debe enviar una alerta temprana en un plazo de 24 horas desde que tenga conocimiento del incidente, posteriormente una notificación más detallada en un plazo de 72 horas y, por último, un informe final exhaustivo en el plazo de un mes. La distinción clave respecto del plazo de 72 horas del GDPR para notificar una violación de la seguridad es que este constituye un único plazo, no un proceso en tres etapas; confundirlos es un error habitual en el examen.

Para evitar confusiones, recuerde la secuencia «alertar, explicar, cerrar». La alerta de 24 horas es solo un primer aviso que incluye las repercusiones iniciales; la notificación de 72 horas añade la causa subyacente y los efectos que persisten; y el informe de un mes recoge la investigación completa y las medidas de mitigación. Un método de eliminación útil: si una pregunta menciona un «informe intermedio» o una «actualización», probablemente no se refiera a NIS2, pues NIS2 solo incluye estas tres etapas fijas, no actualizaciones continuas. Tenga también presente que el plazo de 24 horas comienza cuando se «tiene conocimiento» del incidente, no cuando este se produce, por lo que debe prestar atención a expresiones como «descubierto» frente a «ocurrido».

Para memorizar el orden, piense en una alerta informativa de 24 horas, una sesión informativa detallada de 72 horas y un análisis post mortem al cabo de un mes. Póngase a prueba recitando: «24 para la alerta, 72 para los detalles y un mes para la historia completa». Si ve un plazo de 48 horas o 14 días, probablemente proceda de otro reglamento, como el Reglamento sobre la Resiliencia Operativa Digital (DORA); identifíquelo como un elemento de distracción.