§ 32 BSIG: la obligación de notificar incidentes de seguridad significativos
El § 32 BSIG obliga a las entidades esenciales e importantes a notificar los incidentes de seguridad significativos: una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final un mes después de la notificación. Los plazos corren desde que usted tiene conocimiento del incidente. La notificación se hace en el portal del BSI.
Las tres notificaciones
Las notificaciones van a la oficina conjunta de notificación del BSI y de la Oficina Federal de Protección Civil y Asistencia en Catástrofes (BBK).
Alerta temprana
Si se sospecha que el incidente se debe a un acto ilícito o malintencionado, y si podría tener efectos en otros países. La ley alemana la llama «frühe Erstmeldung».
§ 32(1) n.º 1
Notificación del incidente
Confirma o actualiza la alerta temprana. Añade una primera evaluación de la gravedad y el impacto y, si los hay, indicios de los atacantes (indicadores de compromiso).
§ 32(1) n.º 2
Informe final
Un mes después de la notificación: qué ocurrió, qué gravedad tuvo, la causa probable, qué ha hecho y qué está haciendo, y si hay otros países afectados.
§ 32(1) n.º 4
Si el BSI lo pide, envía entre medias un informe intermedio (n.º 3). Si el incidente sigue en curso al cabo de un mes, envía un informe de situación en lugar del informe final, y el informe final cuando esté resuelto (apartado 2).
La obligación de notificar, paso a pasoCuándo un incidente es significativo
Un incidente de seguridad es significativo si ha causado o puede causar una perturbación grave de su actividad o pérdidas económicas para su empresa. O si ha causado o puede causar daños materiales o inmateriales considerables a otros.
Para ciertos proveedores digitales, como la nube, los centros de datos y los servicios gestionados, el Reglamento de Ejecución (UE) 2024/2690 fija umbrales más precisos. Para todos los demás no hay cifras fijas. Usted decide según estos dos criterios y deja constancia del porqué.
§ 2 n.º 11 BSIG · Art. 23(3) NIS 2
Cuándo empieza a correr el plazo, y dónde se notifica
Los plazos corren desde el conocimiento, no desde que todo esté claro. El BSI entiende por conocimiento el momento en que alguien de la empresa se entera del incidente en horario laboral.
Usted notifica en el portal del BSI, con el mismo acceso que para el registro. Si aún no está registrado, notifica mediante un formulario en línea del portal de notificación e información del BSI (MIP).
Si hay datos personales afectados, normalmente notifica también a la autoridad de protección de datos: sin dilación indebida y, si es posible, en 72 horas, salvo que sea improbable que la violación suponga un riesgo para las personas afectadas (art. 33 RGPD). Una notificación no sustituye a la otra.
§ 32(1) BSIG · Art. 33 RGPD
Qué más regula la norma
Apartado 3: los operadores de instalaciones críticas indican además qué instalación está afectada y qué significa el incidente para su servicio crítico.
Apartado 4: el BSI fija los detalles del procedimiento y del contenido y los publica en su web.
Apartado 5: el BSI transmite las notificaciones a las autoridades federales de supervisión competentes.
Apartado 6: el BSI puede ofrecerle apoyo para gestionar el incidente.
Qué significa esto para una empresa de 50 a 150 empleados
Decida de antemano quién valora si un incidente es significativo y quién notifica. En una emergencia hay poco tiempo para eso.
Compruebe que esa persona puede iniciar sesión hoy en el portal del BSI, y quién la sustituye. Si solo una persona tiene el acceso, las 24 horas se quedan cortas enseguida.
Un ejemplo
Una empresa inventada: un mayorista de alimentación con 95 empleados. Viernes, 16:00: falla el software del almacén y los camiones no se pueden cargar.
16:30: el área de TI descubre que los servidores están cifrados. Desde ese momento corre el plazo.
17:00: según el plan de respuesta a incidentes, decide el gerente. Clasifica el incidente como significativo porque la actividad está gravemente perturbada.
20:00: la alerta temprana en el portal del BSI. Indica que se sospecha un ataque y que podría haber clientes afectados en Austria. El plazo habría corrido hasta el sábado a las 16:30.
Como muy tarde el lunes a las 16:30: la notificación del incidente, con una primera evaluación de la gravedad y el impacto.
Un mes después de esa notificación: el informe final, o un informe de situación si el incidente sigue en curso. En paralelo, la empresa comprueba si hay datos personales afectados.
Cómo lo hace el recorrido guiado
Dos pasos del recorrido guiado de nisd2.eu le preparan para notificar.
«Planificar qué pasa en un incidente»: con sus respuestas se genera su plan de respuesta a incidentes. Dice quién decide y cómo notifica.
«Saber cómo notificar un incidente»: el paso muestra los tres plazos y un ejemplo de alerta temprana.
Usted deja constancia de si puede iniciar sesión en el portal del BSI y notificar.
Al final, la dirección aprueba el plan de respuesta a incidentes en la app.
Preguntas frecuentes
¿Cuándo empieza el plazo de 24 horas?
Desde el momento en que su empresa tiene conocimiento del incidente significativo, no desde que empezó. El BSI entiende por ello el momento en que alguien de la empresa se entera en horario laboral.
¿Qué incluye la alerta temprana?
La ley pide dos cosas: si podría haber detrás un ataque u otro acto ilícito, y si el incidente podría afectar a otros países (§ 32(1) n.º 1 BSIG). Lo que aún no sepa, lo añade en la notificación a las 72 horas.
¿Hay umbrales fijos para un incidente significativo?
Solo para los proveedores digitales designados en el Reglamento de Ejecución (UE) 2024/2690. Para todos los demás se aplican los criterios del § 2 n.º 11 BSIG: perturbación grave de la actividad, pérdidas económicas o daños considerables a otros.
¿Tengo que notificar también según el RGPD?
Si hay datos personales afectados, normalmente sí: a la autoridad de protección de datos, si es posible en 72 horas (art. 33 RGPD). La notificación al BSI no la sustituye.
¿Dónde notifico?
En el portal del BSI, con el acceso del registro. Si aún no está registrado, use el formulario en línea del portal de notificación e información del BSI.
Fuentes
- Ley del BSI (BSIG) § 2 n.º 11 y § 32, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), art. 23, EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690, EUR-Lex
- BSI: paquete informativo sobre notificaciones NIS 2 y guía para notificar en el portal del BSI, bsi.bund.de
- Reglamento (UE) 2016/679 (RGPD), art. 33
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
