- Significado
- Segundo escalón de la notificación
- Plazo
- 72 horas, según el artículo 23
- Contenido
- Primera valoración de la gravedad y del impacto
- Escalón
- El intermedio de los tres
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es la notificación del incidente?
La Notificación del incidente sigue a la alerta temprana y es el segundo escalón de la obligación de notificación de NIS2. En 72 horas ofrece a la autoridad una primera valoración sólida de la gravedad, del impacto y de las posibles causas. Mientras que la alerta temprana solo señala que ha ocurrido algo significativo, la notificación del incidente responde por primera vez a la pregunta de qué ha ocurrido exactamente y con qué gravedad.
Qué contiene
- Primera valoración del incidente (gravedad, alcance, impacto en los servicios y en los usuarios)
- En la medida en que se conozcan: la causa, el tipo de ataque y los sistemas afectados
- Las medidas inmediatas de contención ya adoptadas
- Indicaciones sobre posibles efectos transfronterizos
Su lugar en la cadena de notificación
Es el escalón intermedio de los tres que integran la Obligación de notificación: Alerta temprana (24 h) → Notificación del incidente (72 h) → Informe final (1 mes). Toda la cadena solo se activa ante un incidente significativo. En España esta cadena será exigible cuando la ley de transposición entre en vigor; hoy los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018.
En la práctica
Una entidad de pago había cursado el lunes la alerta temprana por un ataque DDoS. El jueves, es decir, dentro de las 72 horas, el equipo presenta la notificación del incidente: el ataque dejó fuera de servicio la API de pagos durante unas seis horas, afectó a varios miles de transacciones según las estimaciones, el origen se atribuye a una red de bots y, como medida inmediata, se activó un servicio de depuración de tráfico. Con esos datos la autoridad puede avisar a otros participantes del mercado.
Por qué el plazo de 72 horas
Da a la autoridad información sólida para reaccionar por sí misma y, si procede, avisar a otras entidades. Sin procesos preparados es difícil cumplir ese plazo; un plan de respuesta a incidentes con funciones y plantillas claras ayuda a evitar incumplimientos y, con ellos, las sanciones que el artículo 34 obliga a prever: al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales.
Más información: Directiva NIS2 (UE) 2022/2555, notificación del incidente del artículo 23, apartado 4
Preguntas frecuentes
¿Qué es la notificación del incidente en NIS2?
La notificación del incidente es el segundo de los tres escalones que prevé el artículo 23 de NIS2 y sigue a la alerta temprana. Ofrece a la autoridad competente, en las 72 horas siguientes a que se tenga conocimiento de un incidente significativo, una primera valoración sólida de la gravedad, del impacto y, en la medida en que se conozca, de la causa. En España será exigible cuando la ley de transposición entre en vigor; hoy los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018.
¿Qué plazo tiene la notificación del incidente?
El artículo 23 concede 72 horas desde que se tiene conocimiento del incidente significativo, es decir, 48 horas más que la alerta temprana. El tercer escalón, el informe final, llega a más tardar un mes después. El artículo 34 obliga a los Estados miembros a prever, para las entidades esenciales, multas de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial. En España esta cadena será exigible cuando la ley de transposición entre en vigor; hoy rige el Real Decreto-ley 12/2018.
¿Qué debe contener la notificación del incidente?
La notificación del incidente contiene una primera valoración de la gravedad y del impacto en los servicios y en los usuarios, la causa y el tipo de ataque en la medida en que se conozcan, y las medidas inmediatas de contención ya adoptadas. También se incluyen las indicaciones sobre posibles efectos transfronterizos. Es, por tanto, mucho más detallada que la alerta temprana previa, que en 24 horas solo señala la sospecha.