Alerta temprana NIS2 en 24 horas: qué enviar y a quién

El artículo 23 de la directiva obliga a las entidades esenciales e importantes a notificar a su CSIRT o, en su caso, a su autoridad competente todo incidente significativo, por fases:

Dos detalles cambian la forma de trabajar. El plazo empieza cuando tienes constancia del incidente significativo, no cuando empezó el ataque. Y 24 horas es un máximo: la regla es "sin demora indebida". En las 24 horas siguientes a la alerta temprana, cuando sea posible, el CSIRT o la autoridad responde con una primera valoración y, si la pides, orientación para mitigar (art. 23.5). Los prestadores de servicios de confianza tienen también 24 horas para la notificación del incidente.

Según el artículo 23.3, un incidente es significativo si:

• ha causado o puede causar una perturbación operativa grave de los servicios o pérdidas económicas para la entidad; o
• ha afectado o puede afectar a otras personas físicas o jurídicas al causar perjuicios materiales o inmateriales considerables.

Para los proveedores digitales (DNS, registros de dominios de primer nivel, nube, centros de datos, redes de distribución de contenidos, proveedores de servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, redes sociales y servicios de confianza), el Reglamento de Ejecución (UE) 2024/2690 lo concreta con cifras. El artículo 3 fija criterios generales: una pérdida económica directa superior a 500.000 euros o al 5 % del volumen de negocios anual, si esta cifra es menor; la exfiltración de secretos comerciales; la muerte o un daño considerable a la salud de una persona; o un acceso no autorizado, logrado y presuntamente malintencionado, a los sistemas de red y de información capaz de causar una perturbación operativa grave. El artículo 4 añade los incidentes recurrentes: al menos dos en seis meses, con la misma causa aparente, que juntos alcancen el umbral económico. Los artículos 5 a 14 añaden criterios por tipo de proveedor; para los proveedores de servicios gestionados, por ejemplo, un servicio totalmente indisponible durante más de 30 minutos (artículo 10).

Las autoridades nacionales pueden añadir sus propias definiciones, así que revisa las de tu país. Dos cosas valen en todas partes: decidir si un incidente es significativo te corresponde a ti, y un ataque bloqueado no es automáticamente un incidente. La directiva llama "cuasi incidente" al suceso que se evitó antes de materializarse (artículo 6), y permite notificarlo de forma voluntaria (artículo 30).

La directiva pide poco: si el incidente parece ilícito o malintencionado y si puede afectar a otros países. En la práctica, los formularios nacionales piden algunos datos más, y la autoridad solo puede ayudarte si puede localizarte. Una alerta temprana útil incluye:

1. Quién eres: la organización, su sector y una persona de contacto localizable a cualquier hora.
2. Cuándo: fecha y hora de detección y de constancia, en UTC o con la zona horaria.
3. Lo que has visto hasta ahora: unas líneas de hechos, como accesos anómalos a un servidor, archivos cifrados, un servicio caído o datos enviados a una dirección desconocida.
4. Causa sospechada: si sospechas de una acción ilícita o malintencionada, y por qué.
5. Repercusión transfronteriza: si pueden verse afectados servicios, clientes o sistemas en otros Estados miembros.
6. Medidas ya adoptadas: aislamiento, cambio de contraseñas y claves, direcciones bloqueadas, copias restauradas.
7. Próximos pasos, y si quieres orientación o apoyo técnico del CSIRT.

Rapidez antes que exhaustividad: escribe lo que sabes, indica lo que aún no sabes y complétalo en la notificación del incidente en 72 horas. Una alerta temprana que llega tarde por querer ser perfecta no cumple su función.

A noviembre de 2026 no se ha publicado en el BOE ninguna ley que transponga NIS2. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero hasta que se apruebe y publique, las obligaciones nacionales de NIS2 no están en vigor en España. Una directiva no obliga directamente a las empresas.

Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS. Sus operadores de servicios esenciales y proveedores de servicios digitales notifican los incidentes con efectos perturbadores significativos a la autoridad competente a través del CSIRT de referencia (artículo 19): INCIBE-CERT para las entidades privadas y CCN-CERT para el sector público (artículo 11).

Si tu empresa entra en el ámbito de NIS2, prepararte ahora sigue teniendo sentido: los procedimientos y los plazos de la directiva serán la base de la ley española, y tus clientes o filiales en otros países pueden estar ya sujetos a ellos.

Cada Estado miembro designa su CSIRT y su autoridad competente, y algunos han cambiado fases o plazos. La situación a noviembre de 2026 en los países de los idiomas de este sitio:

Para los demás Estados miembros, la Comisión Europea mantiene una página por país con los contactos nacionales: comprueba su fecha de actualización y luego las fuentes oficiales nacionales. Si operas en varios países, la regla general es el país donde estás establecido; los proveedores de servicios gestionados, de nube y de centros de datos y algunos otros proveedores digitales dependen del país de su establecimiento principal en la Unión (artículo 26).

Veinticuatro horas son pocas solo si te enteras tarde o si tienes que reconstruir a mano lo que pasó. Lo que hace realista el plazo está listo antes del incidente:

• Alertas que llegan a una persona: los eventos críticos van a un canal que alguien lee, también de noche y en fin de semana, no a un buzón que nadie abre.
• Una sola cronología: los eventos de todos los servidores en un sitio, con horas, direcciones de origen, accesos y acciones realizadas, para que las primeras líneas de la alerta sean cuestión de leer, no de recopilar registros.
• Un responsable designado de antemano: quién decide si el incidente es significativo y quién firma y envía la notificación.
• El canal de la autoridad preparado: registro hecho donde se exige, acceso al portal probado, contactos del CSIRT a mano.
• Los proveedores, al tanto: si un proveedor gestiona tus servidores, el contrato dice en cuánto tiempo te avisa. Su retraso forma parte de tus 24 horas.

InfraFence cubre los servidores Linux en los que funciona su agente:

• Alertas: por correo en todos los planes; Slack, Discord, Telegram y webhooks firmados desde el plan Basic, con severidad mínima y categorías por canal. Consulta Alertas.
• La cronología: ataques, bloqueos, accesos SSH, archivos modificados, detecciones de malware y cada acción realizada por una persona o por AutoMode, con aprobaciones y deshacer. Consulta Eventos y actividad.
• Borradores de las notificaciones: en Compliance (Pro y AutoMode) se redactan la alerta temprana, la notificación del incidente y el informe final de NIS2 a partir de un incidente de los últimos 7 días o de un intervalo de hasta 31 días, con tus notas y en el idioma que elijas. El borrador distingue los intentos bloqueados de un compromiso confirmado y deja como campo por completar lo que no puede saber, como los datos de la empresa o el impacto en el negocio. Los borradores tienen versiones y se descargan en Markdown o se imprimen en PDF. Consulta Informes mensuales y NIS2.

Los borradores siguen la estructura del artículo 23, no un formulario nacional: copia el texto en el formulario o el portal de tu país. Para redactarlos, la cronología y tus notas se envían a un proveedor externo de generación de texto, y la página lo indica antes de empezar.

Lo que no hace: no decide si un incidente es significativo, no envía nada a ninguna autoridad ni CSIRT y solo ve los servidores donde funciona el agente. El historial de eventos es de 30 días en Starter y de 90 en los planes de pago. Los borradores no son asesoramiento jurídico y por sí solos no te ponen en regla. Si hay datos personales en juego, lee también NIS2 y RGPD.

• Directiva (UE) 2022/2555 (NIS2), en EUR-Lex: artículos 6, 23, 26 y 30.
• Reglamento de Ejecución (UE) 2024/2690 de la Comisión, en EUR-Lex: artículos 3, 4 y 10.
• España: Real Decreto-ley 12/2018, en el BOE, artículos 11 y 19, y el Ministerio del Interior sobre el anteproyecto.
• Italia: D.Lgs. 138/2024, artículo 25, en Normattiva, y la determinación ACN 379907/2025.
• Alemania: § 32 BSIG y la página del BSI sobre la obligación de notificar.
• Francia: el expediente del proyecto de ley en la Asamblea Nacional.
• Portugal: Decreto-Lei 125/2025, en el Diário da República, artículos 40 a 44 del régimen anexo.
• Comisión Europea, transposición de NIS2 en los países de la UE.