NIS2 y RGPD: notificar el mismo incidente a dos autoridades
Última actualización:
Un ransomware en un servidor con datos de clientes son, para la ley, dos problemas a la vez. Para NIS2 puede ser un incidente significativo, que se notifica al CSIRT o a la autoridad competente. Para el RGPD es una violación de la seguridad de los datos personales, que se notifica a la autoridad de protección de datos. Dos normas, dos autoridades, dos relojes.
Esta página compara las dos obligaciones, explica cuándo un mismo incidente activa ambas y termina con una lista de comprobación práctica.
Borrador: no es asesoramiento jurídico. Resume la Directiva (UE) 2022/2555 (NIS2) y el Reglamento (UE) 2016/679 (RGPD) con fines informativos, actualizado a noviembre de 2026. Las leyes y autoridades nacionales añaden sus propias reglas y formularios: para tus obligaciones, consulta los textos oficiales, las autoridades competentes y a tu abogado o delegado de protección de datos.
Las dos obligaciones, frente a frente
| NIS2 (artículo 23) | RGPD (artículos 33 y 34) | |
|---|---|---|
| Qué la activa | Un incidente significativo: perturbación operativa grave o pérdidas económicas para ti, o perjuicios considerables para otros. Cualquier dato, cualquier servicio. | Una violación de la seguridad de los datos personales: la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados (artículo 4.12). |
| Quién notifica | La entidad esencial o importante. | El responsable del tratamiento. El encargado avisa al responsable sin dilación indebida (artículo 33.2). |
| Quién la recibe | El CSIRT o, en su caso, la autoridad competente. | La autoridad de control competente; en tratamientos transfronterizos, la autoridad principal (artículos 55 y 56). |
| Plazos | Alerta temprana en 24 horas desde que se tiene constancia, notificación en 72, informe final un mes después de la notificación. | Sin dilación indebida y, si es posible, en 72 horas desde que se tiene constancia. Después, con los motivos del retraso. La información puede darse por fases (artículo 33.4). |
| Cuándo no hace falta | Cuando el incidente no es significativo. | Cuando es improbable que la violación suponga un riesgo para los derechos y libertades de las personas. Aun así, se documenta (artículo 33.5). |
| A quién más avisar | Cuando proceda, a los destinatarios de tus servicios afectados por el incidente (artículo 23.1). | A los interesados, sin dilación indebida, cuando el riesgo para ellos sea alto (artículo 34). |
Las 72 horas de las dos normas parecen iguales, pero no siempre empiezan a la vez: NIS2 cuenta desde que tienes constancia de un incidente significativo, el RGPD desde que tienes constancia de una violación de datos personales. Puede que descubras la segunda más tarde, cuando el análisis muestra que el atacante llegó a una base de datos.
Cuando un incidente activa las dos
Las dos evaluaciones son independientes, y cada una puede dar sí o no. Algunos casos típicos, para una organización sujeta a NIS2:
| Caso | NIS2 | RGPD |
|---|---|---|
| Un ransomware cifra el servidor con la base de datos de clientes, y los datos se copiaron fuera | Probablemente significativo: perturbación grave y perjuicios a terceros. | Violación de datos personales (confidencialidad y disponibilidad); la notificación es probable. |
| Un ransomware cifra un servidor con datos personales, restaurado desde copia en pocas horas, sin indicios de exfiltración | Depende de la perturbación. | Sigue siendo una violación (de disponibilidad) que hay que documentar; notificarla depende del riesgo, según las directrices del CEPD. |
| Un DDoS deja la tienda en línea caída un día, sin acceso a los datos | Puede ser significativo, según la perturbación. | Normalmente no se notifica: no hubo acceso ni pérdida de datos, aunque la pérdida de disponibilidad de datos personales puede ser una violación. |
| Alguien entra en el buzón de un empleado con una contraseña robada | Depende del impacto en tus servicios. | Violación de datos personales si el buzón contiene datos personales, que es lo habitual. |
| Fuerza bruta SSH bloqueada por el cortafuegos | No es un incidente en sí: como mucho, un cuasi incidente. | No hay violación: no se accedió a nada. |
Las Directrices 9/2022 del CEPD explican con ejemplos cómo valorar el riesgo de una violación, también en casos de ransomware y de pérdida de disponibilidad.
La directiva conecta los dos sistemas: cuando una autoridad NIS2 detecta que una infracción puede implicar una violación de datos personales, informa a la autoridad de protección de datos; y si esta sanciona esa conducta con arreglo al RGPD, la autoridad NIS2 no la multa de nuevo (artículo 35). Eso no sustituye tu notificación a ninguna de las dos. El considerando 106 anima a los Estados miembros a ofrecer un punto de entrada único para ambas notificaciones; en noviembre de 2025 la Comisión propuso un punto de entrada único de la UE y, para el RGPD, notificar solo las violaciones de alto riesgo en 96 horas (propuesta Ómnibus Digital, COM(2025) 837). A noviembre de 2026 sigue siendo una propuesta: se aplican las reglas de esta página.
A dónde van las dos notificaciones
En España, a noviembre de 2026, no hay ley NIS2 publicada en el BOE (anteproyecto aprobado el 14 de enero de 2025). Mientras tanto, los operadores de servicios esenciales y los proveedores de servicios digitales del Real Decreto-ley 12/2018 notifican a través de su CSIRT de referencia: INCIBE-CERT para las entidades privadas, CCN-CERT para el sector público. Las violaciones de datos personales se notifican a la AEPD o, para el sector público de algunas comunidades autónomas, a su autoridad autonómica de protección de datos.
| País | NIS2 | RGPD |
|---|---|---|
| España | Con las reglas de 2018: INCIBE-CERT o CCN-CERT. | La AEPD, o una autoridad autonómica para las entidades que supervisa. |
| Italia | CSIRT Italia | El Garante per la protezione dei dati personali, con su procedimiento en línea. |
| Alemania | La oficina conjunta de notificaciones del BSI y el BBK, a través del portal del BSI. | La autoridad de protección de datos del estado federado (Land), o el comisionado federal para las entidades que supervisa. |
| Francia | La ANSSI, cuando se apruebe la ley de transposición. | La CNIL. |
| Portugal | La plataforma del CNCS; la ley prevé notificar también a la CNPD y a otras autoridades por la misma plataforma, según un protocolo entre ellas (Decreto-Lei 125/2025, artículo 40 del régimen). | La CNPD. |
El CEPD mantiene la lista de todas las autoridades nacionales de protección de datos. La página sobre la alerta temprana recoge la situación de la transposición en cada uno de estos países.
Lista de comprobación: un incidente, dos notificaciones
- Contén y conserva: aísla lo comprometido, guarda registros y copias antes de limpiar y abre un registro del incidente con horas en UTC.
- Anota el momento en que tuviste constancia, por separado para el incidente significativo y para la violación de datos personales: marcan los dos relojes.
- Toma dos decisiones, por escrito: ¿es un incidente significativo (NIS2)? ¿Es una violación de datos personales, y con qué riesgo para las personas (RGPD)? Anota quién decidió y por qué.
- Unos mismos hechos, dos notificaciones: la misma cronología alimenta ambas, para que las dos autoridades no reciban versiones contradictorias.
- En 24 horas: la alerta temprana NIS2, si el incidente es significativo.
- En 72 horas: la notificación del incidente NIS2 y, si hay riesgo para las personas, la notificación RGPD, con el delegado de protección de datos implicado. Si llegas tarde en la parte del RGPD, explica por qué.
- Avisa a los interesados cuando el riesgo sea alto (artículo 34 del RGPD), y a los destinatarios de tus servicios cuando proceda (NIS2).
- Si eres encargado del tratamiento (por ejemplo, una agencia que aloja la web de un cliente), avisa al responsable sin dilación indebida: la notificación le corresponde a él.
- En el mes siguiente a la notificación NIS2: el informe final, con la causa y las medidas.
- Documenta la violación en tu registro aunque no la hayas notificado (artículo 33.5 del RGPD), y revisa qué cambiar.
Dónde ayuda InfraFence, y dónde no
En Compliance (Pro y AutoMode), InfraFence redacta a partir de la cronología de tus servidores tanto las notificaciones NIS2 (alerta temprana, notificación del incidente, informe final) como una evaluación de la violación según el artículo 33 del RGPD. El borrador del RGPD sopesa si se vieron o pudieron verse afectados datos personales, con los indicios a favor y en contra, evalúa el riesgo y si parece necesario notificar a la autoridad y a los interesados, y prepara el contenido del artículo 33.3 y el registro del artículo 33.5.
Todos los borradores parten de la misma cronología: ataques, bloqueos, accesos SSH, archivos modificados, detecciones de malware y acciones realizadas. Lo que el agente no puede saber, como qué datos personales guardan tus aplicaciones, cuántas personas están afectadas o quién es tu delegado de protección de datos, queda como campo por completar. Los borradores tienen versiones y se descargan en Markdown o se imprimen en PDF. Para redactarlos, la cronología y tus notas se envían a un proveedor externo de generación de texto, y la página lo indica. Consulta Informes mensuales y NIS2.
No decide si hay una violación o un incidente significativo, y no envía nada a ninguna autoridad. Los borradores no son asesoramiento jurídico.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), en EUR-Lex: artículos 3, 4.12, 33, 34, 55 y 56.
- Directiva (UE) 2022/2555 (NIS2), en EUR-Lex: artículos 23 y 35, considerando 106.
- Directrices 9/2022 del CEPD sobre la notificación de violaciones de datos personales.
- Miembros del CEPD: las autoridades nacionales de protección de datos.
- Real Decreto-ley 12/2018, en el BOE: artículos 11 y 19.
- Propuesta Ómnibus Digital, COM(2025) 837, en EUR-Lex.
Preguntas
- Si notifico al CSIRT, ¿tengo que notificar también a la autoridad de protección de datos?
- Sí, si el incidente es también una violación de datos personales con riesgo para las personas. Son obligaciones distintas. La autoridad NIS2 puede informar a la de protección de datos, pero eso no sustituye tu notificación.
- ¿Las 72 horas son las mismas en las dos normas?
- La duración es la misma, pero cada plazo empieza cuando tienes constancia de lo que cubre esa norma: el incidente significativo para NIS2, la violación de datos personales para el RGPD. El RGPD admite una notificación posterior con los motivos del retraso; NIS2 pide antes la alerta temprana en 24 horas.
- ¿Se aplica el RGPD si mi empresa no está sujeta a NIS2?
- Sí. El RGPD se aplica a las organizaciones establecidas en la UE que tratan datos personales, y a las de fuera de la UE que ofrecen bienes o servicios a personas en la UE, sea cual sea su tamaño o sector.
- Alojo las webs de mis clientes. ¿Quién notifica?
- Para el RGPD, el responsable del tratamiento, normalmente tu cliente; como encargado, le avisas sin dilación indebida. Para NIS2, depende de si tú o tu cliente sois entidades NIS2.
- ¿Van a cambiar los plazos?
- La propuesta Ómnibus Digital de la Comisión, de noviembre de 2025, llevaría la notificación del RGPD a 96 horas, solo para violaciones de alto riesgo y a través de un punto de entrada único de la UE. A noviembre de 2026 es una propuesta, no una ley.
Pruébalo gratis en 1 servidor
Starter protege por completo un servidor, gratis y sin tarjeta de crédito.
- 01
Crea una cuenta gratuita y abre Servidores › Añadir servidor para obtener el token de instalación. Es válido durante una hora.
Crear el token - 02
Después ejecuta esto como root en el servidor:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>