- Significado
- Comunicación final tras un incidente
- Plazo
- Un mes, según el artículo 23
- Contenido
- Causa, impacto y medidas adoptadas
- Escalón
- Tercero y último
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es el informe final?
El Informe final (final report) es el tercero y último escalón de laObligación de notificación de NIS2. Mientras que la alerta temprana y la notificación del incidente ofrecen bajo presión de tiempo una primera imagen de la situación, el informe final resume, una vez analizado el incidente, qué ocurrió realmente, qué impacto tuvo y con qué medidas se reaccionó. Es, por tanto, la documentación final vinculante ante la autoridad competente.
Qué debe incluir
- Descripción detallada del incidente y de su causa raíz (root cause)
- Naturaleza y alcance del impacto: servicios afectados, volumen de datos y número de usuarios
- Contramedidas adoptadas y previstas, incluidas las dirigidas a evitar que se repita
- Cuando proceda: los efectos transfronterizos sobre otros Estados miembros
Su lugar en la cadena de notificación
Llega después de la alerta temprana (24 h) y de la notificación del incidente (72 h), y el artículo 23 lo sitúa como muy tarde un mes después de esa notificación. En España será exigible cuando la ley de transposición entre en vigor; hoy los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018. Si un incidente significativo sigue abierto más allá de ese mes, primero se presenta un informe intermedio sobre el estado del tratamiento; el informe final llega en cuanto el incidente esté completamente resuelto.
En la práctica
Tras un ataque de ransomware, un operador hospitalario ha necesitado tres semanas para el análisis forense y la recuperación. En el informe final expone que el acceso inicial se produjo por una vulnerabilidad sin parchear en la VPN, que la atención de urgencias estuvo limitada durante 14 horas y que en adelante se implantarán la autenticación multifactor y una gestión de parches más estricta. Así no solo cumple el plazo: aporta a la autoridad conclusiones aprovechables para otras entidades.
Más que cumplir una obligación
Un buen informe final también vale hacia dentro: las lecciones documentadas sirven para mejorar los controles y la respuesta a incidentes , y refuerzan la capacidad de acreditación ante la supervisión y ante los órganos de dirección, sobre todo porque el artículo 34 obliga a los Estados miembros a prever, para las entidades esenciales, multas de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial.
Más información: Directiva NIS2 (UE) 2022/2555, informe final del artículo 23, apartado 4
Preguntas frecuentes
¿Qué es el informe final en NIS2?
El informe final es el tercero y último escalón de la obligación de notificación en tres fases que el artículo 23 de NIS2 prevé para los incidentes significativos. Una vez analizado el incidente, documenta su causa raíz, la naturaleza y el alcance del impacto y las contramedidas adoptadas y previstas. Es la documentación final vinculante ante la autoridad competente y le aporta conclusiones aprovechables que pueden servir también a otras entidades.
¿Qué plazo tiene el informe final?
El artículo 23 sitúa el informe final como muy tarde un mes después de la notificación del incidente. Cierra la cadena de NIS2, que empieza con la alerta temprana en 24 horas y continúa con la notificación del incidente en 72 horas. En España esta cadena será exigible cuando la ley de transposición entre en vigor; hoy los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018.
¿Y si el incidente dura más de un mes?
Si un incidente significativo sigue abierto más allá del mes posterior a la notificación, en lugar del informe final se presenta primero un informe intermedio sobre el estado del tratamiento. El informe final propiamente dicho llega después, en cuanto el incidente esté completa y definitivamente resuelto. Así la autoridad competente se mantiene informada del avance durante todo el tratamiento, sin que un plazo rígido de un mes fuerce una comunicación final prematura.