¿Qué plazos hay para notificar un incidente bajo NIS2 y DORA?
NIS2 y DORA exigen informes de incidentes por fases, con relojes que empiezan en el momento en que se detecta el incidente. NIS2 fija una alerta temprana en 24 horas desde que se tiene conocimiento, una notificación en 72 horas y un informe final en un mes. DORA fija una notificación inicial en 4 horas desde que el incidente se clasifica como grave, un informe intermedio en 72 horas y un informe final en un mes.
NIS2 se aplica a entidades esenciales e importantes de dieciocho sectores. DORA se aplica a las entidades financieras y a los proveedores TIC de los que dependen. Una organización puede quedar bajo una, bajo otra o bajo ambas. Los plazos tienen una forma parecida, pero no idéntica, y las diferencias importan cuando el incidente ya está en curso. Los fabricantes de productos conectados tienen además un tercer reloj: desde el 11 de septiembre de 2026, el Reglamento de Ciberresiliencia les obliga a notificar las vulnerabilidades explotadas activamente en plazos que se miden en horas.
NIS2 en tres fases
- Alerta temprana: en 24 horas desde que se tiene conocimiento de un incidente significativo.
- Notificación del incidente: en 72 horas desde que se tiene conocimiento, con una evaluación inicial de gravedad e impacto.
- Informe final: en un mes desde la notificación, con la causa raíz y las medidas aplicadas.
DORA en tres informes
- Notificación inicial: en 4 horas desde que el incidente se clasifica como grave, y como máximo 24 horas desde que se tiene conocimiento de él.
- Informe intermedio: en 72 horas desde la notificación inicial.
- Informe final: en un mes desde el último informe intermedio.
¿Cuándo empieza a contar el plazo?
Los dos marcos vinculan el reloj al momento del conocimiento, no al momento en que el informe está listo ni al inicio de la siguiente jornada laboral. En NIS2, los plazos de 24 y 72 horas corren desde que la entidad tiene conocimiento del incidente significativo. En DORA, los plazos de 72 horas y de un mes corren desde la notificación inicial, y la propia notificación inicial vence en 4 horas desde el momento en que el incidente se clasifica como grave.
DORA añade un segundo reloj fácil de malinterpretar. El plazo de 4 horas empieza en la clasificación; el límite de 24 horas desde el conocimiento es el tope exterior. Si se clasifica rápido, solo quedan cuatro horas; si se clasifica despacio, el tope de 24 horas se impone igualmente. Por eso el elemento crítico es una clasificación rápida y defendible, y por eso los criterios del estándar de clasificación, el Reglamento Delegado (UE) 2024/1772, deben estar acordados y documentados antes del incidente, no durante.
La consecuencia práctica es la misma en ambos marcos: un incidente detectado a las 23:00 de un viernes pone en marcha un reloj que vence durante el fin de semana. Ninguno de los dos regímenes se detiene por las noches, los fines de semana ni los festivos. DORA permite una extensión limitada hasta el mediodía del siguiente día hábil cuando un plazo cae en fin de semana o festivo, pero esa extensión no está disponible para las entidades de crédito, las entidades de contrapartida central, los centros de negociación ni ninguna entidad clasificada como esencial o importante en NIS2.
NIS2 (artículo 23): alerta temprana, notificación e informe final
NIS2, la Directiva (UE) 2022/2555, se aplica a entidades esenciales e importantes: organizaciones de uno de los dieciocho sectores del anexo que, por lo general, tienen 50 o más empleados o una facturación anual superior a 10 millones de euros. Si una organización cumple a la vez el criterio de sector y el de tamaño, está dentro del ámbito. Para muchas empresas que nunca se consideraron infraestructura crítica, NIS2 es su primera obligación reglada de ciberseguridad.
Un incidente significativo es el que causa o puede causar una perturbación operativa grave o pérdidas económicas, o un daño material o inmaterial considerable a otras personas. El umbral se concreta además en el Reglamento de Ejecución (UE) 2024/2690. Cuando se produce, empieza la cascada de tres fases. La alerta temprana es breve: señala el incidente y, cuando procede, si se sospecha que es malicioso o que puede tener impacto transfronterizo. La notificación de 72 horas añade una evaluación inicial de gravedad e impacto y los indicadores de compromiso disponibles. El informe final, en un mes, expone la causa raíz, las medidas aplicadas y los efectos transfronterizos. Si el incidente sigue activo al cumplirse el mes, se presenta un informe de situación y el informe final llega en el plazo de un mes desde que el incidente queda resuelto.
Las notificaciones se dirigen al CSIRT de referencia o a la autoridad competente que designe cada Estado miembro. En España, mientras se aprueba la ley de transposición, el canal de referencia para el sector privado es el INCIBE-CERT, y para el sector público el CCN-CERT. NIS2 incorpora además un deber distinto, en el artículo 23, de informar sin dilación indebida a los destinatarios de tus servicios cuando el incidente pueda afectarles; ese deber no es lo mismo que notificar a la autoridad y no se cumple solo con una página de estado. El incumplimiento es sancionable: las multas alcanzan los 10 millones de euros o el 2% de la facturación anual mundial para las entidades esenciales, y los 7 millones o el 1,4% para las importantes.
La transposición cambia de un país a otro, porque una directiva surte efecto a través de la ley nacional. En España, el vehículo es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025 y todavía en tramitación parlamentaria a lo largo de 2026, después de que España incumpliera el plazo de transposición de octubre de 2024 y recibiera un dictamen motivado de la Comisión Europea en mayo de 2025. La futura ley crea el Centro Nacional de Ciberseguridad como autoridad nacional. Los plazos de la directiva son los que la ley nacional va a trasladar, así que la estructura de 24 horas, 72 horas y un mes es lo correcto sobre lo que construir ahora, sea cual sea la fecha en que el texto llegue por fin al BOE. Es una razón para que una organización que valora su preparación ante NIS2 no espere a la ley para empezar a operar la capacidad.
DORA (artículo 19): notificación inicial, informe intermedio e informe final
DORA, el Reglamento (UE) 2022/2554, se aplica a las entidades financieras: bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos y más, junto con los proveedores TIC críticos de los que dependen. A diferencia de una directiva, un reglamento se aplica de forma directa en toda la Unión sin transposición nacional, así que los relojes de DORA corren desde que el reglamento entró en aplicación el 17 de enero de 2025.
Un incidente grave relacionado con las TIC pone en marcha tres informes, con los plazos fijados en la norma técnica de regulación sobre notificación de incidentes, el Reglamento Delegado (UE) 2025/301, artículo 5. La notificación inicial vence en 4 horas desde que el incidente se clasifica como grave y como máximo 24 horas desde que se tiene conocimiento. El informe intermedio llega en 72 horas desde la notificación inicial, y es obligatorio aunque el estado no haya cambiado; además, hay que presentar un informe intermedio actualizado sin dilación indebida cuando se restablece la actividad normal. El informe final vence como máximo un mes después del último informe intermedio, y cubre la causa raíz, el impacto y la remediación. Las notificaciones se dirigen al supervisor competente de la entidad, que en España es la autoridad que corresponde a su tipo, como el Banco de España, la CNMV o la Dirección General de Seguros y Fondos de Pensiones. Las obligaciones más amplias que rodean la notificación de incidentes, desde la gestión de riesgos TIC hasta la supervisión de terceros, se explican en nuestra guía de los cinco pilares de DORA.
Qué debe contener cada informe
Los informes crecen en detalle a medida que avanza el incidente, y es intencionado: el régimen no espera un análisis completo en las primeras horas, pero sí un aviso rápido. La primera comunicación en cualquiera de los dos marcos es breve, un aviso más que un dosier: lo justo para decir a la autoridad que está ocurriendo algo significativo y, si se sabe, si parece malicioso o transfronterizo. La fase de 72 horas añade una evaluación inicial de gravedad e impacto y los indicadores de compromiso. El informe final es el sustantivo: causa raíz, remediación aplicada e impacto más amplio.
La trampa está en suponer que estos informes se pueden redactar en el momento. No se puede, porque los dos primeros plazos vencen mientras el incidente aún se está conteniendo y las personas que redactarían el informe son las mismas que dirigen la respuesta. Las plantillas, los criterios de clasificación y los contactos designados tienen que existir de antemano. Una organización que tiene que diseñar su formulario de notificación en la hora tres de un incidente en curso ya ha perdido casi toda la primera ventana.
Por qué la primera ventana es lo difícil
Los informes rara vez son el elemento que limita. Detectar y clasificar el incidente lo bastante rápido como para tener algo que notificar sí lo es. Todos los plazos de ambos marcos cuentan desde el conocimiento o la clasificación, así que el reloj puede estar muy avanzado antes de que nadie dentro de la organización sepa que hay un incidente en marcha. Una intrusión que empieza a las 02:00 de un domingo consume la ventana de alerta temprana de 24 horas de NIS2 y se come el tope de 24 horas desde el conocimiento de DORA mientras la oficina está vacía.
Aquí es donde la detección continua deja de ser un extra. Cumplir un reloj de 24 horas o de 4 horas da por hecho que hay alguien mirando cuando salta la alerta, capaz de triarla y de tomar la decisión de clasificación fuera del horario. Una operación de seguridad monitorizada existe precisamente para comprimir el tiempo entre que algo ocurre y que una persona decide qué es. Sin ella, la obligación de notificar depende de que un empleado se dé cuenta por casualidad, que no es un control que un auditor o un supervisor vayan a aceptar.
Cómo estar preparado antes del incidente
Cumplir estos plazos es una capacidad operativa, no un documento. Cuatro cosas tienen que estar listas antes del incidente, no durante. Primero, criterios de clasificación escritos y una persona designada, con un suplente, que pueda decidir si un incidente es significativo o grave sin esperar a un comité. Segundo, plantillas ya redactadas para cada fase, para que la alerta temprana sea un formulario que se rellena y no un documento que se inventa. Tercero, un punto de contacto designado y una relación ya establecida con el CSIRT o el supervisor que corresponda, para que el primer contacto real no se haga durante la crisis. Cuarto, detección y triaje que funcionen fuera del horario laboral, porque los relojes lo hacen.
Qalea opera esta función en lugar de entregar una lista de comprobación: monitorización continua sobre los dispositivos y la infraestructura, un SOC que tría y clasifica en cuanto saltan las alertas, y un vCISO que asume el flujo de notificación y la relación con la autoridad. Esa es la diferencia entre una obligación de notificar que se convierte en una carrera y otra que funciona como un proceso ensayado. Si tu organización está dentro del ámbito de NIS2 o DORA y no tiene la certeza de que hoy podría cumplir la primera ventana, ese es el hueco que conviene cerrar.
