Tres momentos, no un plazo único
Quién busca 'obligación de notificación nis2 24 horas' suele encontrar la idea de que una organización debe conocer y notificar todo en un día. Eso no es correcto. El artículo 23 de la Directiva NIS2 distingue tres momentos separados tras un incidente significativo: una alerta temprana dentro de 24 horas, una notificación más completa dentro de 72 horas, e un informe final dentro de un mes. Cada momento requiere algo diferente, y el plazo comienza cuando la organización toma conocimiento del incidente, no desde el momento en que el incidente ocurrió realmente.
Importante saber de antemano: esta obligación de notificación se aplica a organizaciones que hayan sido designadas como entidades esenciales o importantes según la NIS2, es decir, entidades de los sectores del anexo I y II. Las empresas afectadas a través de la cadena de suministro —el proveedor de la pyme que recibe un cuestionario de seguridad de un gran cliente— no están sujetas a esta obligación de notificación por sí solas. Pueden notar que un cliente pregunta cómo gestionan los incidentes, pero eso es distinto a una obligación legal de notificación a una autoridad supervisora. Si duda en qué categoría se encuentra su organización, la verificación con algunas preguntas le proporciona una primera indicación.
El primer momento: una alerta, no un análisis
Las primeras 24 horas se destinan a una señal temprana, no a un análisis completo. La Directiva habla aquí de alerta temprana: un breve mensaje indicando que posiblemente se trate de un incidente significativo, y si existe sospecha de que el incidente fue causado por actividad ilícita o puede tener consecuencias transfronterizas. Lo que en este momento aún falta —la causa exacta, el alcance, los sistemas afectados— no es necesario. Ahí está precisamente el malentendido: 24 horas no es un plazo para resolver o comprender plenamente el incidente, es un plazo para notificar que algo está sucediendo.
El segundo momento: una evaluación inicial
Dentro de 72 horas sigue una notificación que va más allá de la alerta inicial. Aquí se espera una evaluación inicial del incidente, con su gravedad y consecuencias, e indicadores que señalen el incidente en la medida disponible. También esto es explícitamente una etapa intermedia: la Directiva reconoce que una organización 72 horas después de tomar conocimiento a menudo aún no tiene el panorama completo. Lo que sí se espera es que la organización pueda demostrar en ese momento qué ha establecido hasta entonces y qué medidas ha tomado o está considerando.
El tercer momento: el informe final
El informe final, a más tardar un mes después de la notificación, es donde se documenta el relato completo: una descripción detallada del incidente, su gravedad y consecuencias, el tipo de amenaza o la causa subyacente que llevó al incidente, las medidas de control aplicadas y en curso, y cuando sea pertinente, las consecuencias transfronterizas. Si el incidente aún está en curso en ese momento, la Directiva prevé un informe intermedio y un informe final posterior una vez que el incidente se haya resuelto.
Lo que la organización debe hacer, y qué no
Estos tres momentos tratan sobre qué se notifica y cuándo, no sobre cómo una organización gestiona técnicamente el incidente. Identificar la causa, aislar sistemas, investigación forense —ese es trabajo de partes especializadas y está fuera de lo que hace una plataforma preparatoria como secria.eu. Preparamos los textos necesarios en cada uno de los tres momentos, basándonos en lo que ya está registrado en el expediente de ciberseguridad de la organización sobre medidas y responsables; la presentación siempre la realiza la propia organización ante el portal de la autoridad supervisora competente.
El procedimiento exacto y el portal varían según el país, porque cada Estado miembro transpone la Directiva en su propia legislación — en los Países Bajos mediante la Ley de Ciberseguridad. Es mejor verificar los detalles, como el proceso exacto de notificación ante la autoridad competente, directamente con la autoridad competente o en el texto nacional definitivo. Un resumen de cómo secria.eu mantiene las fuentes y con qué fecha puede leerlo en la página sobre de dónde proviene nuestra información.
Por qué esto es más que recordar un plazo
Los tres momentos solo son viables si una organización sabe de antemano quién reconoce un incidente, quién lo notifica y qué información ya está disponible para ello. Ese es precisamente el punto donde las medidas de diligencia debida y el proceso de notificación convergen: una organización que mantiene sus medidas como un registro vivo, con un responsable por medida, no necesita empezar de cero en caso de incidente para averiguar quién es responsable de qué. Puede encontrar más información sobre cómo estas medidas se relacionan con la obligación de notificación y otras obligaciones en la descripción general de temas por situación.
Si tiene preguntas sobre qué se entiende exactamente por incidente significativo o cómo la obligación de notificación se relaciona con su sector, la página de preguntas frecuentes es un paso lógico siguiente, además de consultar con su autoridad competente o un abogado para su situación específica.
Si primero desea saber si su organización está sujeta a la obligación de notificación, realice la comprobación NIS2 gratuita. Esta le proporciona en unos pocos pasos una indicación de su posición, con explicación y un paso siguiente — sin necesidad de una cuenta.