Simulador de Plazos de Notificación de Incidentes NIS2
Introduce el momento en que tu organización detectó el incidente y visualiza la cuenta atrás real a la alerta temprana (24h), la notificación (72h) y el informe final (1 mes).
¿Cuándo detectaste el incidente?
Los 3 hitos del Artículo 23
Alerta temprana (early warning)
Notificación inicial sin demora indebida, indicando si se sospecha que el incidente tiene origen ilícito o transfronterizo.
Notificación de incidente
Evaluación inicial del incidente, incluyendo gravedad e impacto, e indicadores de compromiso cuando estén disponibles.
Informe final
Descripción detallada del incidente, causa raíz probable, medidas de mitigación aplicadas y, si procede, impacto transfronterizo.
Preguntas Frecuentes sobre los Plazos de Notificación NIS2
¿Los plazos de 24h, 72h y 1 mes se cuentan desde que ocurre el incidente o desde que se detecta?
Se cuentan desde que la entidad tiene conocimiento (toma conciencia) del incidente significativo, no desde el momento exacto en que técnicamente ocurrió. Por eso la capacidad de detección temprana es tan determinante: cuanto más tarde detectes el incidente, menos margen real tienes para cumplir cada hito.
¿Qué se considera un "incidente significativo" bajo NIS2?
El Artículo 23 lo define como un incidente que ha causado o es capaz de causar una perturbación operativa grave de los servicios o pérdidas financieras para la entidad afectada, o que ha afectado o es capaz de afectar a otras personas físicas o jurídicas causando perjuicios materiales o inmateriales considerables. No todo incidente de seguridad activa esta obligación — el umbral es la gravedad del impacto.
¿El informe final tiene que presentarse exactamente al mes?
El Artículo 23 fija el informe final en un plazo de un mes desde la presentación de la notificación de incidente (el hito de 72h), no un mes natural fijo. Esta calculadora usa una aproximación de 30 días sobre las 72h para dar una referencia de planificación — verifica siempre el cómputo exacto de "un mes" según la transposición de tu país.
¿Qué pasa si no se cumplen estos plazos?
El incumplimiento de las obligaciones de notificación del Artículo 23 puede derivar en sanciones bajo el régimen de NIS2, cuya cuantía y procedimiento exacto depende de la ley de transposición nacional. Más allá de la sanción formal, la falta de preparación previa (contacto designado, plantilla de notificación lista) es lo que más frecuentemente hace perder el plazo de 24h en la práctica.
¿A quién se notifica exactamente?
A la autoridad competente o al CSIRT (Computer Security Incident Response Team) nacional designado en la transposición de NIS2 de tu país. El canal y el formato exacto varían por Estado miembro — confirma el procedimiento vigente en tu país antes de que ocurra un incidente, no durante uno.