Notificación de incidentes: los plazos comparados

En qué plazo y a quién hay que notificar un incidente de ciberseguridad, en los principales regímenes del mundo, del más rápido al más lento.

Datos a 2 de noviembre de 2026Descargar el PDF

Versión siempre actualizada: https://www.cybersecuritydatabase.org/es/reports/incident-reporting/

La base de datos compara 42 regímenes de notificación en 33 jurisdicciones. En 35 casos el primer aviso debe darse en 24 horas, y 20 regímenes exigen al menos tres comunicaciones sucesivas.

Primer plazo de notificación

De inmediato7 regímenes
En 6 horas8 regímenes
En 24 horas20 regímenes
En 72 horas4 regímenes
Más de 72 horas2 regímenes
Lo antes posible1 regímenes

Todos los regímenes, del más rápido

Jurisdicción	Régimen	Plazos	Autoridad
Ecuador	Ley Orgánica para el Fortalecimiento de la Ciberseguridad (2026)	Sin demora Notificación del incidente 72 horas Plazo máximo de notificación	Ministerio de Telecomunicaciones y de la Sociedad de la Información (MINTEL)
Francia	NIS1 (Ley 2018-133)	Sin demora Declaración del incidente	Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI)
Gabón	Ley 027/2023 de ciberseguridad y lucha contra la ciberdelincuencia	Sin demora Declaración del incidente en cuanto se tiene conocimiento	Autoridad administrativa competente en materia de ciberseguridad
Malasia	Cyber Security Act 2024 (Act 854)	Sin demora Notificación inicial 6 horas Primera información complementaria 14 días Información completa	Director general de la National Cyber Security Agency (NACSA) y responsable del sector NCII
Mozambique	Ley 13/2026 de seguridad cibernéticaAún no operativo	Sin demora Solo operadores de nube: aviso al CSIRT nacional; para los demás el plazo lo fijará la Autoridad 1 mes Informe mensual sobre la respuesta y resolución del incidente	CSIRT sectorial y CSIRT nacional; Autoridade Reguladora de Tecnologias de Informação e Comunicação (INTIC) como Autoridad Nacional de Seguridad Cibernética
Nigeria	Cybercrimes Act 2015 (modificada en 2024)	Sin demora Informar al CERT nacional 72 horas Plazo máximo de notificación	Centro de Coordinación del CERT nacional, a través de los CERT o centros de operaciones de seguridad (SOC) sectoriales
Turquía	Ley de Ciberseguridad n.º 7545	Sin demora Notificación del incidente o de la vulnerabilidad	Presidencia de Ciberseguridad (Siber Güvenlik Başkanlığı)
China	Medidas sobre la notificación de incidentes de ciberseguridad (2025)	1 hora Operadores de infraestructuras críticas 2 horas Órganos centrales y estatales y unidades que dependen directamente de ellos 4 horas Otros operadores de red 30 días Informe final (desde el final de la gestión del incidente)	Administración provincial del ciberespacio (CAC); para las infraestructuras críticas, el departamento de protección y la seguridad pública; para los órganos centrales y estatales, su propia unidad del ciberespacio
Italia	Perímetro de seguridad nacional cibernética (Decreto-ley 105/2019)	1 hora Notificación de los incidentes más graves (categoría 2) 6 horas Notificación de los demás incidentes (categoría 1)	CSIRT Italia (Agencia Nacional de Ciberseguridad, ACN)
Taiwán	Cyber Security Management Act	1 hora Notificación del incidente 36 horas Control de daños o recuperación completados y comunicados, para los incidentes graves (72 horas para los de nivel 1 o 2) 1 mes Informe de investigación, gestión y medidas correctivas (desde que concluyen el control de daños o la recuperación)	Autoridad central competente del sector; para los organismos públicos, el organismo superior y el Ministerio de Asuntos Digitales
Singapur	Cybersecurity Act 2018	2 horas Notificación del incidente 72 horas Información complementaria 30 días Informe final (desde la información complementaria)	Comisionado de Ciberseguridad (Cyber Security Agency of Singapore)
Chile	Ley Marco de Ciberseguridad 21.663	3 horas Alerta temprana 72 horas Segundo reporte (24 horas para los OIV con el servicio esencial afectado) 7 días Plan de acción (solo OIV) 15 días Informe final (desde la alerta temprana)	CSIRT Nacional (Agencia Nacional de Ciberseguridad, ANCI)
Macedonia del Norte	Ley sobre la seguridad de las redes y sistemas de información (2025)	3 horas Primera comunicación del incidente o la amenaza significativos 24 horas Alerta temprana 72 horas Notificación del incidente 1 mes Informe final (desde la notificación)	CSIRT competente (MKD-CIRT, en la Agencia de Comunicaciones Electrónicas, o, para los órganos ejecutivos, MKD-GOV-CSIRT)
Unión Europea	DORA (UE) 2022/2554	4 horas Notificación inicial (desde su clasificación como grave, a más tardar 24 horas desde que se detecta) 72 horas Informe intermedio (desde la notificación inicial) 1 mes Informe final	Autoridad de supervisión financiera competente
India	Directivas del CERT-In de 28 de abril de 2022	6 horas Notificación del incidente	Indian Computer Emergency Response Team (CERT-In)
Australia	Security of Critical Infrastructure Act 2018	12 horas Incidente crítico con impacto significativo (si es oral, por escrito en 84 horas) 72 horas Otro incidente con impacto relevante (si es oral, por escrito en 48 horas)	Australian Cyber Security Centre (ACSC, dependiente del ASD)
Hong Kong	Ordenanza de protección de las infraestructuras críticas (Cap. 653)	12 horas Notificación de los incidentes graves (que interrumpen o pueden interrumpir las funciones esenciales) 48 horas Notificación de los demás incidentes 14 días Informe escrito	Comisionado de Infraestructuras Críticas (seguridad de los sistemas informáticos)
Armenia	Ley de ciberseguridad (HO-442-N, 2025)	24 horas Notificación del incidente (de inmediato y como máximo en 24 horas) 2 días Aviso a las personas potencialmente afectadas (de inmediato o, si no es posible, en dos días) 72 horas Actualización sobre gravedad y consecuencias 1 mes Informe final (un mes después de la actualización)	Comisión Reguladora de los Sistemas de Información
Suiza	Ley de seguridad de la información (ISG)	24 horas Notificación del ciberataque	Oficina Federal de Ciberseguridad (OFCS)
Alemania	CRA (proyecto de ley de aplicación)	24 horas Alerta temprana (vulnerabilidad explotada o incidente grave) 72 horas Notificación 14 días Informe final de la vulnerabilidad (desde la corrección) 1 mes Informe final del incidente (desde la notificación)	BSI (CSIRT), a través de la plataforma única de ENISA
Alemania	NIS2 (NIS2UmsuCG, BSIG)	24 horas Alerta temprana 72 horas Notificación del incidente 1 mes Informe final (desde la notificación)	Oficina Federal de Seguridad de la Información (BSI)
Unión Europea	Directiva NIS2 (UE) 2022/2555	24 horas Alerta temprana 72 horas Notificación del incidente 1 mes Informe final (desde la notificación)	CSIRT nacional o autoridad competente
Unión Europea	Reglamento de Ciberresiliencia (UE) 2024/2847: vulnerabilidades explotadas	24 horas Alerta temprana de la vulnerabilidad explotada activamente 72 horas Notificación de la vulnerabilidad 14 días Informe final (desde que se dispone de una medida correctora o de mitigación) Sin dilación indebida Informar a los usuarios afectados	CSIRT designado como coordinador en el Estado del establecimiento principal, a través de la plataforma única de notificación de ENISA
Unión Europea	Reglamento de Ciberresiliencia (UE) 2024/2847: incidentes graves	24 horas Alerta temprana del incidente grave 72 horas Notificación del incidente 1 mes Informe final (desde la notificación del incidente) Sin dilación indebida Informar a los usuarios afectados	CSIRT designado como coordinador en el Estado del establecimiento principal, a través de la plataforma única de notificación de ENISA
Finlandia	CRA (Ley 439/2026)	24 horas Alerta temprana (vulnerabilidad explotada o incidente grave) 72 horas Notificación 14 días Informe final de la vulnerabilidad (desde la corrección) 1 mes Informe final del incidente (desde la notificación)	Traficom (NCSC-FI), a través de la plataforma única de ENISA
Ghana	Directiva para la protección de las infraestructuras de información críticas (2021)	24 horas Notificación del incidente 72 horas Notificación de las vulnerabilidades detectadas en auditorías y evaluaciones (desde el descubrimiento de la vulnerabilidad)	CERT sectorial o, si no existe, el CERT nacional (CERT-GH) de la Cyber Security Authority
Italia	CRA (proyecto de decreto legislativo, AG 447)	24 horas Alerta temprana (vulnerabilidad explotada o incidente grave) 72 horas Notificación 14 días Informe final de la vulnerabilidad (desde la corrección) 1 mes Informe final del incidente (desde la notificación)	CSIRT Italia (ACN), a través de la plataforma única de ENISA
Italia	NIS2 (Decreto Legislativo 138/2024)	24 horas Prenotificación 72 horas Notificación del incidente 1 mes Informe final (desde la notificación)	CSIRT Italia (Agencia Nacional de Ciberseguridad, ACN)
Italia	Ley 90/2024 (administraciones públicas)	24 horas Comunicación inicial 72 horas Notificación completa	Agencia Nacional de Ciberseguridad (ACN)
Kiribati	Cybersecurity Act 2026Aún no operativo	24 horas Toda la información relevante sobre el incidente (desde su detección)	CERT nacional y CERT sectorial competente
Liechtenstein	NIS2 (Ley de Ciberseguridad, CSG)	24 horas Alerta temprana 72 horas Notificación del incidente 1 mes Informe final (desde la notificación)	Stabsstelle Cyber-Sicherheit (SCS)
Montenegro	Ley de Seguridad de la Información (2024)	24 horas Notificación inicial 72 horas Primer informe sobre los incidentes de nivel medio o alto (desde la notificación inicial) 30 días Informe final (desde la resolución del incidente)	Agencia de Ciberseguridad o, para los órganos de la Administración del Estado, el CIRT de la Administración del Estado
Noruega	Ley de Seguridad Digital (digitalsikkerhetsloven)	24 horas Notificación (varsel) 72 horas Actualización de la notificación 1 mes Informe del incidente (desde la notificación)	Autoridad supervisora del sector, con copia a la Autoridad Nacional de Seguridad (NSM)
Serbia	Ley de Seguridad de la Información (2025)	24 horas Notificación del incidente 15 días Informe final (desde el fin del incidente)	Sistema único de recepción de notificaciones (sitio web del ministerio competente o de la Oficina de Seguridad de la Información); Banco Nacional de Serbia, Comisión de Valores y RATEL para sus sectores
Estados Unidos	CIRCIA (2022)Aún no operativo	24 horas Pago de un rescate (desde el pago) 72 horas Ciberincidente cubierto	Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA)
Perú	Reglamento del Marco de Confianza Digital (D. S. 126-2025-PCM)	48 horas Notificación de los incidentes de nivel crítico	Centro Nacional de Seguridad Digital (CNSD)
Australia	Cyber Security Act 2024 (pagos de rescate)	72 horas Notificación del pago (desde el pago o desde que se tiene conocimiento)	Australian Signals Directorate (ASD)
Canadá	Critical Cyber Systems Protection Act (S.C. 2026, c. 9)Aún no operativo	72 horas Notificación del incidente al CSE (plazo máximo; el exacto lo fijarán los reglamentos)	Communications Security Establishment (CSE)
Reino Unido	NIS Regulations 2018	72 horas Notificación del incidente	Autoridad competente del sector; Information Commissioner's Office (ICO) para los proveedores de servicios digitales
Estados Unidos	Normas de la SEC sobre divulgación de ciberseguridad (formulario 8-K, Item 1.05)	4 días Divulgación pública en el formulario 8-K (4 días hábiles desde la determinación de la importancia)	Securities and Exchange Commission (SEC)
Japón	Ley de ciberdefensa activa (Ley n.º 42 de 2025)	30 días Informe completo Sin dilación indebida Primer informe con la información disponible	Ministro competente del sector y primer ministro
España	NIS1 (Real Decreto-ley 12/2018)	Sin dilación indebida Notificación inicial, después actualizaciones y notificación final	CSIRT de referencia (INCIBE-CERT, CCN-CERT o ESPDEF-CERT)