La Gaceta del Centinela
En tiempos de sobreinformación: referencias verificables y contraste adicional cuando exista más de una fuente fiable.
Contenido orientativo con fuentes oficiales y referencias contrastables. No sustituye asesoramiento jurídico ni técnico especializado.
El artículo 23 de la Directiva NIS2 establece un régimen de notificación de incidentes con tres hitos temporales obligatorios. El incumplimiento de estos plazos puede dar lugar a sanciones independientes del propio incidente. Comprender qué se considera incidente 'significativo' y qué información debe incluirse en cada notificación es esencial.
Puntos clave
NIS2 define incidente significativo como aquel que (a) ha causado o puede causar graves perturbaciones operativas o pérdidas financieras para la entidad afectada, o (b) ha afectado o puede afectar a otras personas físicas o jurídicas causándoles perjuicios materiales o inmateriales considerables. Los criterios específicos los desarrollará ENISA mediante actos de ejecución.
Cada hito tiene un contenido mínimo distinto. El incumplimiento de los plazos es sancionable con independencia de si el incidente en sí mismo fue manejado correctamente. Es fundamental tener el procedimiento documentado antes de que ocurra un incidente.
| Hito | Plazo | Destinatario | Contenido obligatorio |
|---|---|---|---|
| Alerta temprana | ≤ 24 h | INCIBE-CERT / CCN-CERT | Existencia del incidente, tipo (malware, DDoS…), posible causa inicial |
| Notificación | ≤ 72 h | INCIBE-CERT / CCN-CERT | Evaluación actualizada, gravedad, impacto, indicadores de compromiso (IoC) |
| Informe final | ≤ 1 mes | INCIBE-CERT / CCN-CERT | Causa raíz, impacto real cuantificado, medidas adoptadas y lecciones aprendidas |
Si el incidente puede afectar significativamente a los usuarios del servicio, la entidad también debe informarles sin demora indebida de las medidas que pueden adoptar para protegerse. Esta obligación es independiente de la notificación a la autoridad y se suma a la eventual obligación de notificación de brechas bajo el RGPD (72 horas a la AEPD, art. 33 RGPD).
Próximos pasos recomendados
¿Tienes dudas concretas sobre este tema?
Pregúntale directamente a Centinela AI con tu contexto específico. Responde en segundos con fuentes citadas.
Probar gratis, sin tarjetaFuentes y referencias
También en NIS2