Incidente significativo conforme a NIS 2
Dos criterios cualitativos, un reglamento con cifras para determinados proveedores digitales y un registro de decisión por escrito para todos los demás.
Por qué importa la definición
La significatividad es lo que pone en marcha todo el reloj de notificación del artículo 23 NIS 2: una alerta temprana en un plazo de 24 horas, una notificación del incidente en un plazo de 72 horas, un informe final en un plazo de un mes. Si el suceso es significativo, el reloj arranca en el momento en que usted lo descubre. Si no lo es, no debe nada al CSIRT ni a la autoridad competente.
El artículo 23(3) NIS 2 solo le da dos formulaciones generales. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión (CIR) añade cifras concretas, pero solo para un grupo reducido de proveedores digitales (DNS, TLD, nube, centro de datos, CDN, MSP, MSSP, mercado en línea, motor de búsqueda, red social, servicios de confianza). Para cualquier otro sector NIS 2 el criterio sigue siendo cualitativo.
La mayoría de los CISO subestiman esa brecha. Si usted está en la fabricación, la alimentación, la sanidad o la gestión de residuos, no hay una cifra en euros, ni un recuento de minutos, ni un umbral de usuarios. Tiene que decidir, tiene que decidir rápido y tiene que ser capaz de explicar por qué más adelante.
Directiva NIS 2 (UE) 2022/2555, art. 23(3)
Un incidente se considerará significativo si: a) ha causado o puede causar graves perturbaciones operativas de los servicios o pérdidas económicas para la entidad afectada; b) ha afectado o puede afectar a otras personas físicas o jurídicas al causar perjuicios materiales o inmateriales considerables.
Esta es la única definición general de incidente significativo en el Derecho de la UE. Ambos puntos emplean «puede causar», de modo que usted tiene que ponderar también el daño potencial además del daño efectivo. El texto nunca cuantifica grave, considerable ni material.
CIR (UE) 2024/2690, art. 3
Un incidente se considerará significativo a efectos del artículo 23, apartado 3, de la Directiva (UE) 2022/2555 con respecto a las entidades pertinentes cuando se cumplan uno o varios de los siguientes criterios: a) que el incidente haya causado o pueda causar a la entidad pertinente pérdidas financieras directas superiores a 500 000 EUR o al 5 % de su volumen de negocios total anual en el ejercicio financiero anterior, si esta cifra es inferior; b) que el incidente haya causado o pueda causar la exfiltración de secretos comerciales a tenor del artículo 2, apartado 1, de la Directiva (UE) 2016/943, de la entidad pertinente; c) que el incidente haya causado o pueda causar la muerte de una persona física; d) que el incidente haya causado o pueda causar daños considerables a la salud de una persona física; e) que se haya producido efectivamente el acceso presuntamente malicioso y no autorizado a los sistemas de redes y de información, lo que puede causar graves perturbaciones operativas; f) que el incidente cumpla los criterios establecidos en el artículo 4; g) que el incidente cumpla uno o varios de los criterios establecidos en los artículos 5 a 14.
Siete criterios (letras a a g): cinco sustantivos más dos remisiones. El art. 1 del CIR establece que estas cifras solo se aplican a determinados proveedores digitales (DNS, TLD, nube, centro de datos, CDN, MSP, MSSP, mercado en línea, motor de búsqueda, plataforma social, servicios de confianza). Los artículos 5 a 14 añaden umbrales mínimos de disponibilidad por sector para el mismo grupo. Si su sector no figura en esa lista, estas cifras no le vinculan y el criterio cualitativo del art. 23(3) es todo lo que tiene.
§32 BSIG (Alemania, ejemplo de transposición)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Cada Estado miembro convierte el art. 23 en Derecho nacional. El §32 BSIG reproduce la cascada y designa como destinatario a una oficina de notificación conjunta creada por el BSI y la Oficina Federal de Protección Civil y Asistencia en Catástrofes (BBK). No añade ninguna cifra propia para los sectores no digitales. La NISG 2026 de Austria se aplica desde el 1 de octubre de 2026. Francia y los Países Bajos no habían notificado su transposición en julio de 2026 (la Comisión los llevó ante el Tribunal de Justicia).
Siete criterios (letras a a g)
Cinco criterios sustantivos más dos remisiones. a) 500 000 EUR o el 5 por ciento del volumen de negocios (lo que sea inferior), b) secretos comerciales exfiltrados, c) una persona fallecida, d) daños graves a la salud de una persona, e) una intrusión maliciosa satisfactoria capaz de provocar una perturbación grave, f) incidentes recurrentes según el art. 4, g) umbrales específicos de la entidad según los arts. 5 a 14. Cualquiera de ellos basta para activar la significatividad para los proveedores digitales incluidos en el ámbito.
Incidentes recurrentes
Los incidentes pequeños se acumulan. Si la misma causa raíz produce al menos dos incidentes en seis meses y, en conjunto, cruzan el límite de pérdidas financieras del art. 3(1)(a), el CIR los trata como un único incidente significativo. Contar cada uno por separado es un error.
Especificidades de DNS y TLD
Para los proveedores de servicios de DNS (art. 5): resolución completamente caída durante más de 30 minutos, tiempo medio de respuesta superior a 10 segundos durante más de una hora, o datos comprometidos (salvo una configuración errónea que afecte a menos de 1 000 dominios y a no más del 1 % de ellos). Registros de TLD (art. 6): cualquier caída completa de la resolución autorizada, tiempo de respuesta superior a 10 segundos durante una hora, o cualquier compromiso de los datos del TLD. Los artículos 7 a 14 fijan umbrales para nube, centros de datos, CDN, MSP y MSSP, mercados, búsqueda, redes sociales y servicios de confianza.
Criterio A: perturbación operativa grave o pérdidas financieras para su entidad
Este es el criterio orientado hacia el interior. La Directiva no le da ninguna cifra en euros, ni duración, ni porcentaje. El considerando 101 nombra tres elementos a tener en cuenta: qué parte del servicio se ve afectada, cuánto dura el incidente y a cuántos usuarios afecta. Úselos para estructurar su razonamiento. No los trate como una lista de comprobación.
Criterio B: daños materiales o inmateriales considerables a terceros
Este es el criterio orientado hacia el exterior. Clientes, ciudadanos, operadores posteriores, su cadena de suministro. El daño inmaterial incluye el perjuicio a la reputación y la confianza. Una interrupción breve que rompe el flujo de trabajo de un hospital, filtra datos de clientes o deja sin servicio a una ciudad puede cumplir este criterio aunque su propia pérdida sea pequeña.
Un ransomware paraliza la producción durante dos días
Las operaciones se detienen. Se cumple el criterio A del art. 23(3) NIS 2 (perturbación operativa grave). Alerta temprana 24 h, notificación del incidente 72 h, informe final 1 mes (art. 23 NIS 2 / §32 BSIG).
Correo de phishing pulsado, sin introducir contraseña
Contención satisfactoria, sin impacto en los servicios ni en terceros. La notificación voluntaria conforme al art. 30 NIS 2 está disponible si desea compartirlo, y no impone obligaciones adicionales (art. 30(2)).
Interrupción del proveedor de nube, su propio servicio se retrasa
Si su propio servicio se ralentiza de forma significativa o se detiene, se cumple el criterio A. Compruebe también el criterio B: ¿sufren los clientes o los operadores posteriores? (art. 23(3) NIS 2)
Un ataque DDoS deja el portal de clientes fuera de servicio durante cuatro horas
Interrupción significativa para los clientes. Ambos criterios del art. 23(3) NIS 2 pueden cumplirse. Para proveedores de DNS, nube o servicios de confianza, compruebe también los arts. 5 a 14 del CIR.
Una configuración errónea expone datos de clientes
Artículo 33 GDPR: 72 h a la autoridad de control. Si además se cruza un umbral de NIS 2 (art. 23(3) NIS 2 o art. 3 CIR), adicionalmente artículo 23 NIS 2: alerta temprana de 24 h al CSIRT. Ambos relojes arrancan en el momento del conocimiento.
Proveedor vulnerado, su propio servicio afectado
Compruebe primero el daño a su propia entidad o a sus clientes. No todo incidente de un proveedor activa su propio deber de notificación. En paralelo: documente la supervisión del proveedor conforme al art. 21(2)(d) NIS 2.
¿No está seguro? La alerta temprana puede actualizarse en la notificación de 72 horas (art. 23(4)(b)). Para los sucesos por debajo del umbral puede notificar voluntariamente sin asumir deberes adicionales (art. 30).
El artículo 30(1) NIS 2 permite la notificación voluntaria de incidentes, ciberamenazas y cuasi accidentes al CSIRT. Esto se aplica a las entidades dentro del ámbito de la Directiva y a las entidades fuera de él que deseen notificar un suceso significativo.
El artículo 30(2) NIS 2 es la protección clave: la notificación voluntaria no dará lugar a la imposición de obligaciones adicionales a la entidad notificante. Notificar un caso límite no conlleva riesgo de deberes adicionales. Eso elimina la excusa obvia para no notificar un incidente poco claro.
El artículo 23(2) NIS 2 añade un deber separado. Las entidades esenciales e importantes comunican, sin demora indebida, a los destinatarios de sus servicios cualesquiera medidas o soluciones que estos puedan adoptar para mitigar los riesgos derivados de una ciberamenaza significativa. Esta no es la notificación al CSIRT; es la comunicación externa a los clientes.
En Alemania, el § 35 Abs. 2 BSIG implementa esto: las entidades de los sectores de finanzas, seguridad social, infraestructura digital, gestión de servicios de TIC y servicios digitales deben comunicar a los clientes amenazados por una ciberamenaza significativa lo que pueden hacer, cuando los intereses de los clientes prevalezcan sobre los suyos. Por separado, el BSI puede ordenar a una entidad que informe a sus clientes de un incidente significativo (§ 35 Abs. 1 BSIG), por ejemplo publicándolo en su sitio web.
Orientación del BSI conforme al §32 BSIG
El BSI reproduce la definición del § 2 Nr. 11 BSIG y entiende 'podría causar' como: los efectos podrían producirse de forma realista. Las notificaciones se realizan a través del portal del BSI. No publica ninguna cifra para los sectores no digitales. El BSI señala que el Ministerio Federal del Interior podrá definir más adelante 'significativo' con mayor detalle mediante ordenanza (§ 56 Abs. 4 BSIG).
Technical Implementation Guidance de ENISA
La Technical Implementation Guidance de ENISA (TIG, versión 1.0 de junio de 2025; su tabla de correspondencias se actualizó a la versión 1.2 en agosto de 2025) ofrece consejos prácticos sobre la evaluación de impacto y remite a los umbrales del CIR donde se aplican. La TIG no es vinculante y devuelve explícitamente los sectores fuera del ámbito del CIR a las autoridades nacionales.
Otros Estados miembros
La NISG 2026 de Austria se aplica desde el 1 de octubre de 2026. Francia y los Países Bajos no habían notificado su transposición en julio de 2026 (la Comisión los llevó ante el Tribunal de Justicia). Alemania es el ejemplo que se usa aquí.
Mito 1: Lo sabremos cuando lo veamos.
Realidad: El art. 23(4)(a) le da 24 horas desde que tiene conocimiento de un incidente significativo para enviar la alerta temprana. En ese tiempo tiene que decidir, anotar el razonamiento y poder defenderlo en una auditoría. Si no ha anotado sus criterios antes del incidente, tomará la decisión bajo presión sin ningún registro al que recurrir. Construya el marco de decisión ahora, no el día del incidente.
Mito 2: Solo las brechas de datos cuentan como incidentes significativos.
Realidad: El art. 23(3)(a) cubre la perturbación operativa y las pérdidas financieras sin mención alguna a datos personales. Una línea de fábrica detenida por un ransomware sin exfiltración de datos es un incidente significativo. Una plataforma logística fuera de servicio durante tres horas puede serlo, si la caída perturba gravemente el servicio o causa daños considerables a los clientes. NIS 2 no es GDPR.
Mito 3: Los incidentes pequeños por debajo del umbral no se acumulan.
Realidad: Para los proveedores digitales del CIR, los incidentes con la misma causa raíz aparente que ocurren al menos dos veces en seis meses cuentan como un único incidente significativo si sus pérdidas financieras juntas superan el umbral del art. 3(1)(a) (art. 4 CIR). NIS 2 en sí no tiene esa regla, pero un patrón de incidentes pequeños sigue siendo motivo para volver a mirar.
Los anexos I y II de NIS 2 cubren 18 sectores. Solo el grupo digital del art. 1 del CIR (11 tipos de entidad) obtiene cifras. Esa es una porción reducida de las entidades incluidas en el ámbito. Para energía, transporte, banca, infraestructuras del mercado financiero, sanidad, agua potable, aguas residuales, administración pública, espacio, servicios postales, gestión de residuos, productos químicos, alimentación, fabricación e investigación, el criterio sigue siendo cualitativo.
Ahí es donde puede resultar útil en la sala. La respuesta honesta a la pregunta del consejo («¿qué cuenta como significativo para nosotros?») es: la UE lo dejó a su criterio, aquí están los tres factores del considerando 101, aquí está el registro de decisión que produciremos el día del incidente, aquí está quién lo firma, aquí está el formulario de notificación del BSI que presentaremos. La respuesta defendible no es una cifra. Es una decisión por escrito.
- Directiva (UE) 2022/2555 (NIS 2), art. 23 y considerando 101: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, artículos 1, 3, 4, 5 a 14: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSIG § 32 (Alemania): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, versión 1.0, 26 de junio de 2025: enisa.europa.eu
- BSI, preguntas frecuentes sobre NIS-2 y portal del BSI: bsi.bund.de, portal.bsi.bund.de
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
