La meldplicht: 24 horas, 72 horas y un mes
Tres momentos, y ninguno de ellos es la obligación de notificación dentro de 24 horas a la que generalmente se hace referencia.
Tres pasos, ninguno
En caso de un incidente significativo, notifica tres veces. Dentro de 24 horas una alerta temprana: algo grave ha sucedido, posiblemente malicioso, posiblemente con consecuencias transfronterizas. No es necesario incluir más en ese momento, porque a menudo tampoco usted sabe qué está sucediendo en ese instante.
Dentro de 72 horas sigue la notificación real: la gravedad, las consecuencias e indicios de cómo sucedió. Y dentro de un mes el informe final: qué fue, cuál fue la causa, qué ha hecho al respecto y cuáles fueron las consecuencias transfronterizas.
¿Cuándo es significativo un incidente?
Si causa una interrupción grave de su servicio o pérdidas financieras, o si puede causar daños considerables a otros. Esto está formulado deliberadamente en términos amplios. En la práctica, la regla general es: si internamente lo llama una crisis, es significativo.
El plazo comienza desde el momento en que se da cuenta del incidente, no desde el momento en que comenzó. Esa diferencia puede ser de días, y es la razón por la que registrar cuándo se percató es importante.
A quién notifica
Al CSIRT o a la autoridad competente de su país. Cada país tiene su propio portal y su propio medio de autenticación.
Ese medio de autenticación es exactamente la razón por la que nunca notificamos en su nombre. Tenemos el texto preparado, con los datos de su dossier rellenados, y usted lo presenta. No es una limitación sino una elección: su acceso a su autoridad supervisora no debe estar en manos de un proveedor.
Preguntas frecuentes
¿Qué pasa si notifica tarde?
Notificar tarde es en sí una infracción. En caso de duda, una alerta temprana que posteriormente resulte innecesaria es más barata que una notificación que llega tarde: el primer paso cuesta diez minutos.
¿También tengo que informar a mis clientes?
Si el incidente afecta a la prestación de su servicio, la autoridad supervisora puede obligarle a hacerlo. Además, el RGPD se aplica por separado: si se trata de datos personales, también existe una obligación de notificación a la Autoridad de Protección de Datos.
¿Se aplica también si estoy afectado a través de la cadena de valor?
No. La obligación de notificación se aplica solo a las organizaciones que están directamente sujetas a la ley. Sin embargo, su contrato con un cliente obligado puede contener un acuerdo de notificación específico.
Esta es información, no asesoramiento sobre su situación específica. secria.eu no evalúa su organización ni proporciona garantía.