Gestión de Incidentes y NIS2: Qué Dice el Artículo 23 sobre la Notificación
La notificación de incidentes es la parte de NIS2 con plazos más concretos. Por eso es la más citada y también la más simplificada. Aquí tienes lo que dice el texto y lo que sigue sin definirse en España.
Estado legal (25/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025, que no ha llegado al Congreso. El retraso ya tiene consecuencias: el 9 de julio de 2026 la Comisión Europea remitió a España al Tribunal de Justicia de la UE por no transponer la Directiva, junto con Irlanda, Francia y Países Bajos. La obligación de notificar solo alcanza a las entidades incluidas por su sector y tamaño (cómo comprobarlo).
Qué es un incidente significativo
El artículo 23.3 lo define así: un incidente es significativo si ha causado o puede causar graves perturbaciones operativas de los servicios o pérdidas económicas para la entidad afectada, o si ha afectado o puede afectar a otras personas físicas o jurídicas causando perjuicios materiales o inmateriales considerables. No todo incidente o intento de ataque lo es.
Fases y plazos (art. 23.4)
| Fase | Plazo | Contenido según la Directiva |
|---|---|---|
| Alerta temprana | Sin demora indebida y, en cualquier caso, 24 horas desde que se tiene constancia del incidente significativo | Si cabe sospechar que responde a una acción ilícita o malintencionada o que puede tener repercusiones transfronterizas |
| Notificación del incidente | Sin demora indebida y, en cualquier caso, 72 horas desde que se tiene constancia | Actualiza la alerta y aporta una evaluación inicial: gravedad, impacto e indicadores de compromiso, cuando estén disponibles |
| Informe intermedio | A instancias del CSIRT o de la autoridad competente | Actualizaciones pertinentes sobre la situación |
| Informe final | A más tardar un mes después de presentar la notificación de 72 horas | Descripción detallada con gravedad e impacto, tipo de amenaza o causa principal probable, medidas paliativas aplicadas y en curso y, cuando proceda, repercusiones transfronterizas |
| Informe de situación | Si el incidente sigue en curso al presentar el informe final | Informe de situación en ese momento y informe final en el plazo de un mes desde que se haya gestionado |
El plazo cuenta desde que la entidad tiene constancia del incidente significativo, no desde el ataque. Los prestadores de servicios de confianza tienen una regla propia de 24 horas para la notificación (art. 23.4, párrafo final). El informe final que describe la Directiva no es un peritaje forense completo: se limita a los elementos enumerados.
A quién se notifica
Al CSIRT o, en su caso, a la autoridad competente que designe cada Estado (art. 23.1). En España esa designación depende de la ley pendiente: el anteproyecto prevé un Centro Nacional de Ciberseguridad como autoridad competente única, pero el texto puede cambiar y no hay canal NIS2 fijado por ley. Bajo el marco actual (NIS1, Real Decreto-ley 12/2018, art. 19), los operadores de servicios esenciales y los proveedores de servicios digitales notifican a la autoridad competente “a través del CSIRT de referencia”. No traslades ese procedimiento a NIS2 sin confirmar el canal cuando se publique la ley.
Otras comunicaciones
- A los destinatarios de tus servicios: cuando proceda, la entidad debe notificarles, sin demora indebida, los incidentes significativos que puedan afectar negativamente a la prestación de los servicios (art. 23.1) y las ciberamenazas significativas y las medidas que pueden aplicar (art. 23.2).
- Datos personales: NIS2 no sustituye al RGPD. Si el incidente afecta a datos personales, puede haber además obligación de notificar a la autoridad de protección de datos; es un régimen distinto con sus propios plazos y criterios. El artículo 35 de NIS2 prevé la coordinación entre autoridades.
- Contratos: tus clientes y proveedores pueden exigirte avisos con sus propios plazos por contrato. Es un asunto contractual, no un requisito de la Directiva.
Preparación práctica (buena práctica)
- Define quién decide si un incidente es significativo y con qué criterios, documentados.
- Ten preparado quién podría hacer la alerta temprana y con qué información mínima.
- Registra cuándo se tuvo constancia del incidente: de ahí cuentan los plazos.
- Conserva la información técnica necesaria para las fases posteriores (indicadores de compromiso, medidas adoptadas).
- Incluye la respuesta a incidentes en tu plan de continuidad y en tu análisis de riesgos.
No damos teléfonos, plataformas ni plantillas concretas: mientras no exista canal NIS2 fijado por ley española, cualquier procedimiento presentado como oficial sería una suposición.
Artículos relacionados
- Checklist NIS2: las áreas del artículo 21
- Continuidad de negocio y NIS2
- Multas y sanciones NIS2: qué fija la Directiva y qué no
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículo 23, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- Departamento de Seguridad Nacional: anteproyecto de ley
- BOE: Real Decreto-ley 12/2018 (marco NIS1 vigente)
- Comisión Europea, paquete de infracciones de julio de 2026: remisión de España al TJUE por NIS2
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. España aprobó un anteproyecto de ley el 14 de enero de 2025 que sigue sin llegar al Congreso, y el 9 de julio de 2026 la Comisión Europea remitió a España —junto con Irlanda, Francia y Países Bajos— al Tribunal de Justicia de la UE por no haber transpuesto la Directiva (expediente de infracción INFR(2024)0270). En las fuentes oficiales consultadas, no consta a 25 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿Hay que notificar cualquier incidente en 24 horas?
- No. La obligación del artículo 23 se refiere a los incidentes significativos: los que han causado o pueden causar graves perturbaciones operativas o pérdidas económicas a la entidad, o han afectado o pueden afectar a otras personas con perjuicios materiales o inmateriales considerables. Y solo para las entidades esenciales e importantes incluidas en el ámbito de la ley.
- ¿A quién se notifica en España?
- La Directiva dice que se notifica al CSIRT o, en su caso, a la autoridad competente que designe cada Estado. En España esa designación depende de la ley de transposición, aún no publicada; el anteproyecto prevé un Centro Nacional de Ciberseguridad como autoridad competente única, pero puede cambiar. Hasta entonces no hay canal NIS2 fijado por ley.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
