Notificación de incidentes en NIS2: qué comunicar y en qué plazos

Los tres hitos del reloj

• • Alerta temprana (24 horas): un aviso rápido a la autoridad de que tienes un incidente significativo, con lo poco que se sabe al principio, incluida la sospecha de si puede tener origen ilícito o efectos transfronterizos.
• • Notificación (72 horas): la valoración inicial del incidente, su gravedad, el impacto y los indicadores de compromiso que se hayan podido identificar.
• • Informe final (un mes): descripción detallada, causa raíz, medidas aplicadas y, si el incidente sigue abierto, informe de situación en su lugar.

Qué se considera un incidente significativo

A grandes rasgos, es significativo el incidente que causa o puede causar una perturbación grave del servicio o pérdidas económicas relevantes para la entidad, y también el que afecta a terceros causándoles daños considerables. Los criterios concretos se detallan en la normativa de desarrollo, y conviene revisarlos porque varían según el tipo de servicio.

En la práctica, lo importante no es memorizar la definición, sino tener decidido de antemano quién toma esa decisión en tu empresa y con qué criterios. Si a las tres de la madrugada nadie sabe si un ransomware en un servidor es significativo, el plazo de 24 horas se come solo.

Cómo prepararse para llegar a tiempo

• • Designar un responsable de notificación y un suplente, con teléfono y capacidad de decidir fuera de horario.
• • Escribir los criterios de significatividad aplicados a tus servicios y validarlos con la dirección.
• • Tener localizado el canal de notificación de la autoridad y el CSIRT de referencia, y la plantilla de comunicación ya redactada.
• • Registrar todos los incidentes, también los que no llegan a significativos: sin registro no hay informe final ni causa raíz.
• • Pactar con tu proveedor de informática o tu MSP los tiempos de respuesta y quién aporta los datos técnicos.
• • Hacer un simulacro al año: es la única forma de saber si el procedimiento aguanta.