Artículo 23 NIS2

Notificación de incidentes NIS2: calculadora de plazos y plantilla de alerta temprana

La notificación de incidentes de NIS2 es la obligación de una entidad esencial o importante de comunicar a su CSIRT o a la autoridad competente cada incidente significativo por etapas: una alerta temprana en las 24 horas siguientes a tener conocimiento de él, una notificación del incidente en 72 horas, un informe intermedio si la autoridad lo pide y un informe final a más tardar un mes después de la notificación del incidente. El plazo empieza cuando usted tiene conocimiento del incidente, no cuando empezó. La calculadora de abajo convierte ese momento en fechas, y la plantilla recoge lo que debe decir la alerta temprana.

El dato que conviene tener presente

Según el artículo 23, apartado 3, de NIS2 (Directiva (UE) 2022/2555), un incidente es significativo si ha causado o puede causar graves perturbaciones operativas de los servicios o pérdidas económicas para la entidad afectada, o si ha afectado o puede afectar a otras personas físicas o jurídicas al causar perjuicios materiales o inmateriales considerables.

Fuente: Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Calculadora de plazos

Introduzca la fecha y la hora en que tuvo conocimiento del incidente significativo. Las fechas se calculan en su navegador, en su zona horaria; nada de lo que introduce se envía a ningún sitio.

Introduzca una fecha y una hora para ver los plazos.

  • Informe intermedio: cuando el CSIRT o la autoridad competente lo solicite.
  • Si el incidente sigue en curso cuando vence el informe final, se presenta entonces un informe de situación, y el informe final en el mes siguiente a la gestión del incidente.
  • Compruebe su legislación nacional: la ley que transpone NIS2 en su país puede fijar el canal y el formulario, y añadir requisitos a estos plazos.

Plantilla de alerta temprana

Los dos puntos que exige el artículo 23, apartado 4, letra a), más los datos que su CSIRT necesitará para contactar con usted. Cópiela en su propio canal de notificación; los formularios nacionales pueden pedir más.

Alerta temprana NIS2 (Directiva (UE) 2022/2555, artículo 23, apartado 4, letra a))
Nombre de la entidad y sector:
Persona de contacto, teléfono y correo electrónico:
Fecha y hora en que la entidad tuvo conocimiento del incidente:
Lo que se sabe hasta ahora, en dos o tres frases:
¿Se sospecha de actos ilícitos o malintencionados? (sí / no / aún no se sabe):
¿Podría tener un impacto transfronterizo? (sí / no / aún no se sabe):
Servicios afectados hasta ahora:
Orientaciones o asesoramiento operativo solicitados al CSIRT, en su caso:

Lo que le pide cada plazo

Abra una etapa para ver qué debe contener el informe, qué tiene ya preparado NetSenX y qué queda en sus manos. Ningún plazo se detiene por un fin de semana o un festivo.

  • 24 horas: alerta temprana (NIS2, artículo 23, apartado 4, letra a)
    Qué debe contener el informe
    Si se sospecha que el incidente significativo se debe a actos ilícitos o malintencionados, y si podría tener efectos transfronterizos. Breve, por diseño.
    Qué tiene preparado NetSenX
    El incidente y sus plazos, seguidos desde que lo registra, y las alertas que lo iniciaron, cada una explicada en lenguaje claro, en todos los planes.
    Qué queda en sus manos
    Decidir que el incidente es significativo y enviar la alerta temprana a su CSIRT o a la autoridad competente.
  • 72 horas: notificación del incidente (NIS2, artículo 23, apartado 4, letra b)
    Qué debe contener el informe
    Una actualización de la alerta temprana y una evaluación inicial: gravedad, impacto y, si los hay, indicadores de compromiso.
    Qué tiene preparado NetSenX
    La cronología de alertas con los equipos, destinos y horas implicados, y el registro de auditoría de lo que se vio y se decidió. Informes PDF desde el plan Starter.
    Qué queda en sus manos
    La evaluación de gravedad e impacto, los indicadores que decida compartir y el envío.
  • Un mes: informe final (NIS2, artículo 23, apartado 4, letra d)
    Qué debe contener el informe
    Una descripción detallada con gravedad e impacto, el tipo de amenaza o causa raíz, las medidas de mitigación aplicadas y en curso, y cualquier efecto transfronterizo.
    Qué tiene preparado NetSenX
    El registro completo durante el historial de alertas de su plan, y la técnica MITRE ATT&CK indicada en las alertas que corresponden a una.
    Qué queda en sus manos
    El análisis de la causa raíz, la mitigación misma y el informe. Si el incidente sigue en curso, se presenta en su lugar un informe de situación.
  • 72 horas: violación de datos personales (RGPD, artículo 33)
    Qué debe contener el informe
    La naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas, dirigidos a la autoridad de control.
    Qué tiene preparado NetSenX
    Una notificación de violación según el artículo 33 del RGPD, preparada a partir del registro del incidente para su delegado de protección de datos.
    Qué queda en sus manos
    Determinar si hay datos personales afectados y si debe notificarse, la notificación misma y cualquier comunicación a los interesados.

Compruebe su legislación nacional: la ley que transpone NIS2 en su país puede fijar el canal y el formulario, y añadir requisitos a estos plazos.

Qué debe contener cada informe

El artículo 23, apartado 4, de la directiva, etapa por etapa. Las leyes nacionales de transposición pueden añadir campos o imponer un formulario.

  1. 01Alerta temprana: en 24 horas

    Si se sospecha que el incidente significativo se debe a actos ilícitos o malintencionados y si podría tener un impacto transfronterizo. Es breve por diseño: los detalles llegan después.

  2. 02Notificación del incidente: en 72 horas

    Una actualización de la alerta temprana y una evaluación inicial del incidente, incluidas su gravedad y su impacto y, cuando estén disponibles, los indicadores de compromiso.

  3. 03Informe intermedio: a petición

    Las actualizaciones pertinentes de la situación, cuando el CSIRT o la autoridad competente las soliciten.

  4. 04Informe final: un mes después de la notificación

    Una descripción detallada del incidente, incluidas su gravedad y su impacto; el tipo de amenaza o la causa de fondo que probablemente lo desencadenó; las medidas paliativas aplicadas y en curso; y, en su caso, el impacto transfronterizo.

Qué hace NetSenX hoy

  • Controla cada incidente frente a los plazos del artículo 23 de NIS2 (24 horas, 72 horas, un mes) y prepara para su DPD la notificación de brecha del artículo 33 del RGPD. Informes PDF desde el plan Starter.
  • Detecta el beaconing de C2, los escaneos y el movimiento lateral, así como volúmenes de datos salientes inusuales, a partir del comportamiento en la red, para que el incidente se encuentre a tiempo de que el plazo importe.
  • Explica cada alerta en lenguaje claro, en todos los planes, y registra alertas, decisiones de los analistas y cambios de configuración en un registro de auditoría que puede entregar a su auditor.
  • Indica en la alerta la técnica de MITRE ATT&CK cuando una detección corresponde a una, lo que ayuda a describir el tipo de amenaza en el informe final.

Qué no hace NetSenX

NetSenX no decide si un incidente es significativo ni si su organización está en el ámbito de NIS2, y no presenta informes a su CSIRT ni a la autoridad competente en su nombre. La calculadora aplica los plazos de la propia directiva; las leyes nacionales de transposición pueden añadir detalles, como el canal o el formulario que se debe usar, así que compruebe las normas de su país.

Preguntas de los compradores

¿Cuándo empieza el plazo de 24 horas de NIS2?

Cuando la entidad tiene conocimiento del incidente significativo, no cuando el incidente empezó. El artículo 23, apartado 4, cuenta desde ese momento tanto la alerta temprana (24 horas) como la notificación del incidente (72 horas).

¿Qué debe incluir una alerta temprana de NIS2?

Según el artículo 23, apartado 4, letra a), la alerta temprana indica, en su caso, si se sospecha que el incidente significativo se debe a actos ilícitos o malintencionados y si podría tener un impacto transfronterizo. Los detalles llegan en la notificación de 72 horas.

¿El informe final vence un mes después del incidente?

No: un mes después del envío de la notificación del incidente. Si el incidente sigue en curso en ese momento, se presenta en su lugar un informe de situación, y el informe final en el mes siguiente a la gestión del incidente.

¿Son distintos los plazos para los prestadores de servicios de confianza?

Sí. Un prestador de servicios de confianza notifica los incidentes significativos que afectan a la prestación de sus servicios de confianza en las 24 horas siguientes a tener conocimiento de ellos, en lugar de 72 horas.

Fuentes

  1. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
  2. European Commission — NIS2 transposition status by Member State

Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.

Páginas relacionadas

Pruebe NetSenX en su propia red

Empiece con el plan Free para un máximo de 3 dispositivos o reserve una demo de 20 minutos.

Ver preciosReservar una demo