Servicio 09.4
Respuesta a incidentes
Las setenta y dos horas se cuentan desde que se tiene constancia, no desde que se cierra la investigación.
Qué es
La respuesta a incidentes establece qué hacer desde el primer minuto, quién decide, a qué autoridades hay que notificar y en qué plazo, con el expediente que documenta la actuación. Economía y Diplomacia entrega el plan de respuesta y el expediente de notificación.
¿Le aplica?
Marque los supuestos que reconozca en su organización.
Qué ocurre si no se actúa
Los artículos 33 y 34 del RGPD obligan a notificar a la autoridad de control toda violación de seguridad sin dilación indebida y, de ser posible, en un plazo máximo de setenta y dos horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo; y a comunicarla a los interesados cuando el riesgo sea alto. Notificar tarde agrava; notificar incompleto no.
Qué recibe
Plan de respuesta y expediente de notificación: cadena de decisión, criterios de calificación, plantillas de notificación por régimen, registro de actuaciones y trazabilidad de la evidencia.
Fases del encargo
- 01
Regímenes
Se identifican todos los regímenes de notificación aplicables y sus plazos, que no coinciden.
- 02
Decisión
Se define quién califica el incidente y quién firma la notificación, con suplencias.
- 03
Procedimiento
Se documenta la actuación por tipo de incidente, incluida la preservación de evidencia.
- 04
Plantillas
Se preparan las notificaciones con el contenido mínimo de cada autoridad.
- 05
Ensayo
Se prueba el plan con un supuesto real y se corrige lo que el ensayo revela.
Los plazos no coinciden entre regímenes
El RGPD fija setenta y dos horas para la autoridad de protección de datos. La Directiva (UE) 2022/2555 exige alerta temprana en veinticuatro horas y notificación completa en setenta y dos. Una misma incidencia puede activar ambos, con destinatarios y contenidos distintos. Resolver esa concurrencia en caliente es lo que produce el incumplimiento.
Preservar la evidencia es lo primero
La reacción instintiva —apagar, reinstalar, restaurar— destruye la evidencia que después hará falta para notificar con exactitud, para reclamar al proveedor y, en su caso, para el procedimiento penal. La preservación debe estar en el paso uno del plan, no en el cinco.
Errores frecuentes
Esperar a cerrar la investigación para notificar, cuando el plazo corre desde la constancia; notificar sin registro interno de qué se sabía en cada momento; y no informar a los destinatarios de los servicios cuando la norma lo exige, que es una obligación distinta de la notificación a la autoridad.
Lo que preguntan antes de contratar
¿Cuánto cuesta implantar el plan de respuesta?
Depende del número de regímenes aplicables y de la complejidad de la organización. Economía y Diplomacia presupuesta el plan y el ensayo por separado.
¿Cuánto tarda?
La redacción del plan es acotada. Lo que fija el calendario es el ensayo, que requiere coordinar a las personas que deberán decidir en real.
¿Cuándo hay que notificar?
Depende del régimen. Bajo RGPD, sin dilación indebida y de ser posible en setenta y dos horas desde la constancia, salvo que sea improbable el riesgo. Bajo NIS2, alerta temprana en veinticuatro horas para incidentes significativos. La calificación debe estar decidida por criterio previo, no improvisada.
¿Y si no estamos seguros de si es notificable?
La duda debe resolverse con criterio escrito previo y documentando la decisión y su fundamento. Una decisión de no notificar que consta razonada es defendible; la misma decisión sin rastro documental, no.