Notificación de incidentes de ciberseguridad

1. Sin demora Notificación del incidente
2. 72 horas Plazo máximo de notificación

Notas: La obligación figura en el artículo 20-G de la Ley Orgánica de Transformación Digital y Audiovisual, introducido por la ley publicada en el Registro Oficial el 22 de mayo de 2026 y en vigor desde ese día. La notificación hecha de buena fe y en plazo no puede usarse por sí sola como prueba de negligencia. En los seis meses siguientes a la publicación el MINTEL debe expedir el reglamento de gestión y notificación de incidentes, con el CSIRT nacional y sin duplicar los canales de los sectores con un órgano de control especializado.

1. Sin demora Declaración del incidente

Notas: El proyecto de ley de transposición de NIS2 (sobre la resiliencia de las infraestructuras críticas), aprobado por el Senado en marzo de 2025, sigue pendiente del debate en el pleno de la Asamblea Nacional, retirado del orden del día el 6 de octubre de 2026 y aún no reprogramado; cuando se apruebe se aplicará el esquema de 24 horas, 72 horas y un mes.

1. Sin demora Notificación inicial
2. 6 horas Primera información complementaria
3. 14 días Información completa

Notas: Los plazos los fija el Cyber Security (Notification of Cyber Security Incident) Regulations 2024.

1. Sin demora Informar al CERT nacional
2. 72 horas Plazo máximo de notificación

Notas: La obligación figura en la sección 21 de la ley. La reforma firmada el 28 de febrero de 2024 sustituyó el plazo de 7 días desde el incidente por 72 horas desde su detección y previó la notificación a través de los CERT o SOC sectoriales.

1. Sin demora Notificación del incidente o de la vulnerabilidad

1. 1 hora Operadores de infraestructuras críticas
2. 2 horas Órganos centrales y estatales y unidades que dependen directamente de ellos
3. 4 horas Otros operadores de red
4. 30 días Informe final (desde el final de la gestión del incidente)

Notas: Medidas de la Administración del Ciberespacio de 11 de septiembre de 2025, en vigor desde el 1 de noviembre de 2025 (artículos 4 y 8). En los incidentes graves y particularmente graves, el organismo que recibe la notificación debe informar al nivel nacional en 30 minutos (infraestructuras críticas) o en 1 hora. Los datos que no puedan determinarse en plazo pueden completarse después; las notificaciones también pueden hacerse por la línea 12387.

1. 1 hora Notificación de los incidentes más graves (categoría 2)
2. 6 horas Notificación de los demás incidentes (categoría 1)

Notas: Las categorías de incidentes y los plazos los fija el Decreto del Presidente del Consejo 81/2021. El Decreto 111/2025, en vigor desde el 16 de agosto de 2025, añadió a la tabla 1 una categoría para los incidentes debidos a un uso indebido de los activos TIC, sin cambiar los plazos.

1. 1 hora Notificación del incidente
2. 36 horas Control de daños o recuperación completados y comunicados, para los incidentes graves (72 horas para los de nivel 1 o 2)
3. 1 mes Informe de investigación, gestión y medidas correctivas (desde que concluyen el control de daños o la recuperación)

Notas: La ley reformada en 2025 está en vigor desde el 1 de diciembre de 2025. Los plazos los fija el reglamento sobre notificación, respuesta y simulacros de incidentes de ciberseguridad, modificado el 5 de enero de 2026.

1. 2 horas Notificación del incidente
2. 72 horas Información complementaria
3. 30 días Informe final (desde la información complementaria)

Notas: Plazos indicados por la Cyber Security Agency (CSA) para los propietarios de CII y para los proveedores designados como responsables de CII de propiedad de terceros. Desde el 31 de octubre de 2025 también deben notificarse en 2 horas los incidentes que se sospeche causados por amenazas persistentes avanzadas (APT) y los que, en los sistemas del propietario no conectados a las CII, interrumpen el servicio esencial; para los incidentes en los sistemas no conectados a las CII se prevé además un informe trimestral consolidado, a más tardar el tercer día hábil tras el fin del trimestre. Desde la misma fecha la CSA puede designar sistemas de interés temporal para la ciberseguridad (STCC), cuyos propietarios deben notificar los incidentes durante el periodo fijado.

1. 3 horas Alerta temprana
2. 72 horas Segundo reporte (24 horas para los OIV con el servicio esencial afectado)
3. 7 días Plan de acción (solo OIV)
4. 15 días Informe final (desde la alerta temprana)

Notas: El procedimiento de reporte lo regula el Decreto Supremo 295/2024. El deber de reportar (artículo 9) y las sanciones se aplican desde el 1 de marzo de 2025. La UTM es la unidad tributaria mensual chilena.

1. 3 horas Primera comunicación del incidente o la amenaza significativos
2. 24 horas Alerta temprana
3. 72 horas Notificación del incidente
4. 1 mes Informe final (desde la notificación)

Notas: Las obligaciones figuran en el artículo 33 de la ley (Služben vesnik n.º 135 de 4 de julio de 2025), que se alinea con la NIS2 y se aplica desde el 1 de enero de 2026. Los prestadores de servicios de confianza notifican en 24 horas; los usuarios expuestos a una amenaza grave deben ser informados a más tardar el siguiente día hábil. Si la comunicación llega a la autoridad competente, esta la remite al CSIRT en dos horas.

1. 4 horas Notificación inicial (desde su clasificación como grave, a más tardar 24 horas desde que se detecta)
2. 72 horas Informe intermedio (desde la notificación inicial)
3. 1 mes Informe final

Notas: Los plazos los fija el Reglamento Delegado (UE) 2025/301. Para las entidades financieras, DORA prevalece sobre NIS2.

1. 6 horas Notificación del incidente

1. 12 horas Incidente crítico con impacto significativo (si es oral, por escrito en 84 horas)
2. 72 horas Otro incidente con impacto relevante (si es oral, por escrito en 48 horas)

1. 12 horas Notificación de los incidentes graves (que interrumpen o pueden interrumpir las funciones esenciales)
2. 48 horas Notificación de los demás incidentes
3. 14 días Informe escrito

Notas: La ordenanza se aplica desde el 1 de enero de 2026 y la hace cumplir la Oficina del Comisionado creada en el Security Bureau. Si la primera notificación no se hace con el formulario y la forma prescritos, debe completarse de esa forma en 48 horas.

1. 24 horas Alerta temprana (vulnerabilidad explotada o incidente grave)
2. 72 horas Notificación
3. 14 días Informe final de la vulnerabilidad (desde la corrección)
4. 1 mes Informe final del incidente (desde la notificación)

Notas: Las obligaciones de notificación se aplican directamente desde el 11 de septiembre de 2026 y la BSI ya coordina las notificaciones como CSIRT. La ley de aplicación, aprobada por el Bundestag el 15 de octubre de 2026, está pendiente del Bundesrat (próxima sesión plenaria el 20 de noviembre de 2026) y de la promulgación; sus disposiciones sobre notificaciones entrarán en vigor al día siguiente de la promulgación.

1. 24 horas Alerta temprana
2. 72 horas Notificación del incidente
3. 1 mes Informe final (desde la notificación)

1. 24 horas Pago de un rescate (desde el pago)
2. 72 horas Ciberincidente cubierto

Notas: Las obligaciones solo se aplicarán con la norma final de la CISA, que la agenda regulatoria federal de otoño de 2025 preveía para septiembre de 2026. El 1 de octubre de 2026 el texto final se remitió para su examen a la Office of Information and Regulatory Affairs (OIRA) de la Casa Blanca, examen aún en curso a finales de octubre de 2026, por lo que la norma todavía no se ha publicado en el Federal Register. En 2026 la CISA celebró reuniones públicas (town halls) para reducir el alcance y la carga de la propuesta de 2024.

1. 24 horas Alerta temprana (vulnerabilidad explotada o incidente grave)
2. 72 horas Notificación
3. 14 días Informe final de la vulnerabilidad (desde la corrección)
4. 1 mes Informe final del incidente (desde la notificación)

Notas: Los plazos son los del reglamento; la ley nacional designa las autoridades y fija las sanciones.

1. 24 horas Notificación del incidente
2. 72 horas Notificación de las vulnerabilidades detectadas en auditorías y evaluaciones (desde el descubrimiento de la vulnerabilidad)

Notas: La obligación figura en el apartado 5.3 de la directiva, en vigor desde el 1 de octubre de 2021, que desarrolla la sección 39(1) de la Act 1038. El titular también debe designar un punto de contacto para las notificaciones y para recibir los avisos de seguridad.

1. 24 horas Alerta temprana (vulnerabilidad explotada o incidente grave)
2. 72 horas Notificación
3. 14 días Informe final de la vulnerabilidad (desde la corrección)
4. 1 mes Informe final del incidente (desde la notificación)

Notas: Las obligaciones de notificación se aplican directamente desde el 11 de septiembre de 2026. El proyecto de decreto (examen preliminar del Consejo de Ministros del 2 de octubre de 2026; en la Cámara de Diputados, las comisiones conjuntas de Asuntos Constitucionales y de Transportes deben emitir su dictamen antes del 18 de noviembre de 2026) designa a la ACN como autoridad notificante y de vigilancia del mercado y permite también a los consumidores notificar vulnerabilidades e incidentes al CSIRT Italia.

1. 24 horas Prenotificación
2. 72 horas Notificación del incidente
3. 1 mes Informe final (desde la notificación)

Notas: La obligación de notificar se aplica desde enero de 2026 a las entidades ya inscritas; para las añadidas a la lista en 2026, a partir del 1 de enero de 2027.

1. 24 horas Comunicación inicial
2. 72 horas Notificación completa

Notas: Las entidades sujetas a NIS2 siguen las reglas del Decreto Legislativo 138/2024. Los incidentes que deben notificarse son los de la taxonomía adoptada por la ACN el 9 de febrero de 2026 (en vigor desde el 17 de febrero de 2026); la notificación hecha con arreglo a NIS2 vale también para la Ley 90/2024.

1. 24 horas Alerta temprana
2. 72 horas Notificación del incidente
3. 1 mes Informe final (desde la notificación)

Notas: La obligación figura en el artículo 6 de la ley, en vigor desde el 1 de febrero de 2025; la Directiva NIS2 se aplica allí como Derecho nacional hasta su incorporación al Acuerdo EEE. Cuando una ley sectorial prevé una notificación con criterios al menos equivalentes, se aplica esa y quien la recibe la remite sin demora a la Stabsstelle Cyber-Sicherheit. Los destinatarios de los servicios afectados también deben ser informados sin demora.

1. 24 horas Notificación inicial
2. 72 horas Primer informe sobre los incidentes de nivel medio o alto (desde la notificación inicial)
3. 30 días Informe final (desde la resolución del incidente)

Notas: Las obligaciones figuran en los artículos 28 a 34 de la ley (Službeni list CG 113/2024), en vigor desde el 5 de diciembre de 2024 y alineada con la NIS2. El nivel del incidente (bajo, medio o alto) lo fija la Agencia o el CIRT tras la notificación inicial; mientras dura el incidente, siguen informes cada 72 horas para los de nivel medio y cada 24 horas para los de nivel alto. Las amenazas e incidentes sin impacto en la continuidad de los servicios se comunican en un informe mensual.

1. 24 horas Notificación (varsel)
2. 72 horas Actualización de la notificación
3. 1 mes Informe del incidente (desde la notificación)

Notas: Los plazos los fija el § 17 del reglamento de seguridad digital (digitalsikkerhetsforskriften) de 20 de junio de 2025, en vigor junto con la ley desde el 1 de octubre de 2025; la ley exige notificar sin demora indebida. La NSM es el punto de contacto nacional y el centro nacional de respuesta a incidentes. La ley transpone, en el marco del Acuerdo EEE, la Directiva (UE) 2016/1148 (SRI).

1. 24 horas Notificación del incidente
2. 15 días Informe final (desde el fin del incidente)

Notas: Las obligaciones figuran en los artículos 13, 14 y 24 de la ley, en vigor desde el 31 de octubre de 2025; para los operadores designados con la ley de 2016, las antiguas obligaciones siguieron vigentes hasta el 31 de diciembre de 2025. Mientras dura el incidente deben enviarse informes cada tres días para los de nivel medio y cada 24 horas para los de nivel alto y muy alto; los usuarios afectados deben ser informados sin demora. La Oficina de Seguridad de la Información empieza a funcionar el 1 de enero de 2027; hasta entonces sus funciones las ejercen la Oficina de Tecnologías de la Información y Administración Electrónica y, para el CERT nacional, RATEL.

1. 24 horas Notificación del ciberataque

1. 24 horas Alerta temprana
2. 72 horas Notificación del incidente
3. 1 mes Informe final (desde la notificación)

Notas: Es el esquema común de la UE (artículo 23); las obligaciones concretas derivan de las leyes nacionales de transposición, que se recogen a continuación para los países cubiertos.

1. 24 horas Alerta temprana de la vulnerabilidad explotada activamente
2. 72 horas Notificación de la vulnerabilidad
3. 14 días Informe final (desde que se dispone de una medida correctora o de mitigación)
4. Sin dilación indebida Informar a los usuarios afectados

Notas: Artículo 14, apartado 2. La alerta temprana y la notificación se cuentan desde que el fabricante tiene conocimiento de la vulnerabilidad; los usuarios deben ser informados sin demora indebida, si es posible en un formato legible por máquina. Se aplica desde el 11 de septiembre de 2026, antes que el resto del reglamento (11 de diciembre de 2027); desde esa fecha las notificaciones se presentan en la plataforma única de notificación (SRP) gestionada por ENISA, en portal.cra-srp.enisa.europa.eu. La situación en cada Estado está en la página sobre la aplicación del CRA.

1. 24 horas Alerta temprana del incidente grave
2. 72 horas Notificación del incidente
3. 1 mes Informe final (desde la notificación del incidente)
4. Sin dilación indebida Informar a los usuarios afectados

Notas: Artículo 14, apartado 4. Un incidente es grave si afecta o puede afectar a la capacidad del producto para proteger datos y funciones, o si ha dado lugar a la introducción de código malicioso. Las notificaciones del CRA no sustituyen a las de la SRI 2 cuando el fabricante es también una entidad SRI 2. Desde el 11 de septiembre de 2026, estas notificaciones también se presentan en la plataforma única de notificación (SRP) de ENISA.

1. 48 horas Notificación de los incidentes de nivel crítico

Notas: Las obligaciones figuran en los artículos 18 y 32 del reglamento, publicado el 4 de noviembre de 2025 y en vigor 90 días después, a principios de febrero de 2026. Los plazos para los demás niveles los fija la clasificación de incidentes de la Secretaría de Gobierno y Transformación Digital (SGTD-PCM). Las violaciones de datos personales también deben notificarse a la autoridad de protección de datos (ANPD).

1. 72 horas Notificación del pago (desde el pago o desde que se tiene conocimiento)

Notas: La parte 3 de la ley, que contiene la obligación, entró en vigor el 29 de mayo de 2025, al cumplirse seis meses de la sanción real (29 de noviembre de 2024). El umbral de volumen de negocios y el contenido de la notificación los fijan las Cyber Security (Ransomware Payment Reporting) Rules 2025.

1. 72 horas Notificación del incidente al CSE (plazo máximo; el exacto lo fijarán los reglamentos)

Notas: La parte 2 de la ley, sancionada el 15 de junio de 2026, entrará en vigor por decreto del Gobernador en Consejo y los reglamentos fijarán el plazo exacto. Inmediatamente después de notificar al CSE, el operador debe informar también al regulador competente.

1. 72 horas Notificación del incidente

Notas: El Cyber Security and Resilience (Network and Information Systems) Bill, que modifica estas normas, prevé una primera notificación en 24 horas y una completa en 72 horas, también al NCSC. En la Cámara de los Lores concluyó la fase de informe el 26 de octubre de 2026 y la tercera lectura está fijada para el 2 de noviembre de 2026; después vendrán el posible examen de las enmiendas en los Comunes y la sanción real.

1. 4 días Divulgación pública en el formulario 8-K (4 días hábiles desde la determinación de la importancia)

Notas: La importancia debe determinarse sin demora injustificada tras el descubrimiento del incidente; la información no disponible en ese momento se añade modificando el formulario 8-K en los 4 días hábiles siguientes a que esté disponible. La divulgación puede aplazarse si el fiscal general de Estados Unidos considera que supone un riesgo grave para la seguridad nacional o pública. Obligación aplicable desde el 18 de diciembre de 2023 y, para las empresas de menor tamaño (smaller reporting companies), desde el 15 de junio de 2024.

1. Sin dilación indebida Primer informe con la información disponible
2. 30 días Informe completo

Notas: La obligación la establece el artículo 5 de la ley y la desarrolla el artículo 4 de la orden interministerial n.º 4 de 28 de mayo de 2026, ambos en vigor desde el 1 de octubre de 2026. Entre otros, no deben notificarse los hechos ocurridos en los seis meses siguientes a la designación del operador.

1. Sin dilación indebida Notificación inicial, después actualizaciones y notificación final

Notas: El anteproyecto de ley de transposición de NIS2 (Ley de Coordinación y Gobernanza de la Ciberseguridad), aprobado en primera vuelta por el Consejo de Ministros el 14 de enero de 2025, nunca se remitió a las Cortes, disueltas el 6 de octubre de 2026 con elecciones el 29 de noviembre de 2026; la transposición pasa por tanto a la nueva legislatura y, mientras tanto, sigue en vigor el Real Decreto-ley 12/2018.