Notificación de incidentes NIS2: 24 h, 72 h y 1 mes

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Cómo funciona la notificación de incidentes en NIS2?

Si sufres un incidente significativo, el artículo 23 de la Directiva (UE) 2022/2555 te obliga a notificarlo al CSIRT de referencia en tres hitos encadenados: una alerta temprana en 24 horas, una notificación con evaluación inicial en 72 horas y un informe final en 1 mes. No notificar a tiempo es una infracción por sí misma, aunque el incidente acabe bien.

El reloj de esos plazos arranca “desde que se haya tenido constancia” del incidente significativo (art. 23.4), no desde que ocurre. Y cada hito exige cosas muy distintas: confundirlos es donde casi todo el mundo se equivoca.

¿Qué cuenta como incidente significativo?

No todos los incidentes se notifican, solo los significativos. El art. 23.3 lo define con dos puertas, y basta cruzar una:

• a) Que haya causado o pueda causar graves perturbaciones operativas de tus servicios o pérdidas económicas para tu entidad.
• b) Que haya afectado o pueda afectar a terceros —personas o empresas— con perjuicios materiales o inmateriales considerables.

Fíjate en el “pueda causar”: el riesgo cuenta, no hace falta que el daño se haya consumado. Un ransomware detenido a tiempo pero que estuvo a punto de tumbar tu ERP entra en la definición.

Si tu empresa es del sector digital (servicios de nube, centros de datos, DNS, mercados en línea, buscadores, proveedores de servicios gestionados), el Reglamento de Ejecución (UE) 2024/2690 pone cifras concretas a ese “significativo” (art. 3). Entre ellas: pérdidas financieras directas superiores a 500.000 euros o al 5 % de tu volumen de negocios anual, la exfiltración de secretos comerciales o un acceso no autorizado efectivo capaz de causar perturbaciones graves, entre otros. Ese reglamento solo obliga a esas categorías digitales; para el resto de sujetos NIS2 es la mejor referencia de cómo calibrar el umbral, no una regla directa. Un detalle útil: el mantenimiento y las paradas programadas no son incidentes significativos (art. 3.2).

Tener un proceso escrito para detectar y notificar no es opcional: es la medida b) del art. 21 (gestión de incidentes), una de el resto de medidas del art. 21 que la Directiva te exige documentar.

Los tres plazos de la notificación de incidentes: 24 h, 72 h y 1 mes

Este es el corazón del art. 23.4. Tres comunicados, cada uno con un contenido mínimo tasado:

Dos matices que cambian la operativa. Primero: el informe intermedio no es un cuarto plazo automático; solo lo presentas si el CSIRT o la autoridad te lo piden expresamente (art. 23.4.c). Segundo: si al cabo del mes el incidente sigue en curso, entregas un informe de situación en ese momento y el final se retrasa hasta un mes después de haber gestionado el incidente (art. 23.4.e).

Una excepción para no equivocarse: los prestadores cualificados de servicios de confianza adelantan la notificación (la de 72 h) a 24 horas; su alerta temprana no cambia (art. 23.4, último párrafo). No es que “tengan todos los plazos a 24 h”.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

El error #1: retrasar la alerta de 24 h “para investigar mejor”

Aquí está lo que casi ningún artículo te cuenta, y es la decisión que más cara sale. La reacción instintiva de un gerente ante un incidente es “vamos a entender bien qué ha pasado antes de avisar a nadie”. Con NIS2, esa cautela invierte el diseño de la norma y es sancionable por sí misma.

La alerta de 24 horas no es un informe. Su único contenido obligatorio son dos casillas: ¿sospechas algo ilícito? ¿puede cruzar fronteras? (art. 23.4.a). El considerando 102 de la Directiva apunta en la misma dirección: la alerta solo tiene que incluir la información necesaria para que el CSIRT tenga constancia del incidente y tú puedas pedir ayuda, y notificar no debería restar recursos a la gestión del incidente, que es lo prioritario. El análisis va en la notificación de 72 h y en el informe final. Esperar no aporta rigor: solo te retrasa.

Y esperar te quita una ayuda concreta. La alerta temprana activa la obligación del CSIRT de responderte sin demora indebida —y, cuando sea posible, dentro de las 24 horas siguientes— con comentarios iniciales. Si lo pides, incluye también orientación operativa sobre cómo contener el incidente e incluso cómo denunciar ante las fuerzas de seguridad si hay indicios delictivos (art. 23.5). El art. 23.1 despeja la duda: el mero hecho de notificar no aumenta la responsabilidad de la entidad que notifica. Notificar pronto no te expone: te protege.

¿Y si aun así lo dejas pasar? No notificar —o notificar tarde— es una infracción autónoma: los arts. 34.4 y 34.5 sancionan el incumplimiento de los artículos 21 o 23 con multa administrativa, para esenciales y para importantes, sin que importe que gestionaras bien el incidente.

Profundizamos en qué pasa si no notificas y en el resto de infracciones. Pero el titular es este: el papeleo tardío es un riesgo legal separado del propio ciberataque.

Y ojo con creer que “tengo 24 horas” ya en España. El régimen que hoy se aplica —el RD 43/2021, que desarrolla la ley NIS1— es aún más exigente en el arranque: para incidentes de nivel alto, muy alto o crítico, la notificación inicial es inmediata, no dentro de 24 horas (Anexo, apartado 6, Tabla 3). Y su art. 9.1 obliga incluso a comunicar sucesos peligrosos “aun cuando no hayan tenido todavía un efecto adverso real”. Quien monte su runbook pensando “tengo un día” llega tarde al régimen vigente y al espíritu del que viene.

¿A quién se notifica un incidente en España?

Hoy, bajo el RD 43/2021, la notificación va a la autoridad competente a través del CSIRT de referencia, según quién seas:

• INCIBE-CERT — empresas y ciudadanos del sector privado. Canal: incidencias@incibe-cert.es o su formulario de notificación, con respuesta 24x7x365.
• CCN-CERT — sector público.
• ESPDEF-CERT — ámbito de Defensa.

Los tres operan la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes (art. 11), disponible todos los días del año. La línea telefónica 017 es ayuda general con escalado, no el canal formal de una entidad obligada.

Quién será exactamente la autoridad y el CSIRT de referencia bajo NIS2 —y el formato de notificación, que dependerá de actos de ejecución europeos— se concretará con la transposición española. El estado real, aquí:

Un aviso que ahorra sustos: la notificación al CSIRT no sustituye a otras. El art. 9.3 del RD 43/2021 la declara independiente de las demás. Un mismo incidente con datos personales puede obligarte a notificar en paralelo a tres sitios distintos: el CSIRT, la Agencia Española de Protección de Datos en 72 h (art. 33 del RGPD) y tus propios clientes afectados, a quienes NIS2 también te manda avisar cuando el incidente pueda perjudicarles (art. 23.1-23.2). Además, el CSIRT o la autoridad pueden informar al público del incidente, o exigirte que lo hagas tú, cuando sea de interés público (art. 23.7).

El runbook de notificación NIS2: qué va en cada comunicado

Si te llevas una sola cosa, que sea esta plantilla mental. Deja las tres plantillas escritas hoy, con los correos y los responsables rellenos, para no improvisar el día del ataque:

• 24 h — “existe y sospechamos”. Dos frases: hay un incidente significativo, sospechamos (o no) acción ilícita, puede (o no) cruzar fronteras. Envías y sigues gestionando. No es un informe.
• 72 h — “cómo de grave y qué sabemos”. La evaluación inicial: gravedad, impacto y los indicadores de compromiso que tengas a mano.
• 1 mes — “qué pasó, por qué y qué hicimos”. El cierre: descripción, causa raíz probable, medidas aplicadas y repercusión transfronteriza, si la hubo.

Dos apuntes para cerrar el runbook. El art. 30 permite además la notificación voluntaria: aunque un suceso no llegue a “significativo” o no seas sujeto obligado, puedes avisar de amenazas y cuasiincidentes sin que ello te genere obligaciones nuevas. Y si tu empresa cae también bajo el sector financiero, cuidado con mezclar calendarios: los plazos de DORA, distintos, exigen una notificación inicial en apenas 4 horas desde que clasificas el incidente como grave (Reglamento Delegado (UE) 2025/301, art. 5).

Qué hacer esta semana

• Fija el “gatillo”. Define por escrito qué convierte un incidente en “significativo” para tu empresa y quién tiene autoridad para pulsar el botón de notificar. Sin ese criterio, el reloj de las 24 h corre sin que nadie lo sepa.
• Escribe las tres plantillas ya. Los tres comunicados (24 h / 72 h / 1 mes) redactados de antemano, con destinatarios y responsables. Improvisarlos a las tres de la madrugada es cómo se pierden los plazos.
• Mapea las notificaciones paralelas. CSIRT, AEPD y clientes son avisos independientes. Ten claro de antemano quién dispara cada uno para no fiarlo todo a una sola persona el peor día del año.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.