Art. 23 NIS 2 · § 32 BSIG

Obligación de notificar NIS2: cuándo y cómo notificar incidentes al BSI

Usted notifica al BSI un incidente de seguridad significativo en tres fases: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final un mes después (§ 32 BSIG). El reloj corre desde el momento en que tiene conocimiento de él. La notificación se hace en el portal del BSI.

Probar 30 días, dinero de vuelta

Reservar una llamada

¿Decide otra persona? Una página para su dirección Formación gratuita para su director general

Simon Orzel·Laufend geprüft

Programas y membresías

Qué es un incidente de seguridad significativo

Un incidente de seguridad es un hecho que compromete la disponibilidad, la integridad o la confidencialidad de sus datos o servicios (§ 2 n.º 40 BSIG). Solo tiene que notificar los incidentes significativos.

Un incidente es significativo si ha causado, o puede causar, una de dos cosas (§ 2 n.º 11 BSIG, art. 23(3) NIS 2): una perturbación operativa grave o pérdidas económicas para su empresa, o daños considerables a otros. Para determinados proveedores digitales, el Reglamento de Ejecución (UE) 2024/2690 fija umbrales exactos. Para todos los demás, el BSI dice: un incidente es significativo si cumple uno de los criterios del art. 3(1) de ese reglamento, y siempre que un servicio crítico falle o se vea afectado.

Perturbación operativa grave

El incidente perturba gravemente la prestación de sus servicios, o puede hacerlo.

Pérdidas económicas

El incidente causa pérdidas económicas a su empresa, o puede hacerlo. Para los proveedores digitales que abarca el reglamento de ejecución, el umbral es una pérdida directa de más de 500.000 EUR o del 5 % de la facturación del año anterior, la cifra que sea menor (art. 3(1)(a)).

Daños a otros

El incidente causa a otras personas o empresas daños materiales o inmateriales considerables, o puede hacerlo.

Violación de datos

Una violación de datos solo es significativa si cumple uno de los dos criterios, por ejemplo porque causa daños considerables a otros. La notificación según el § 32 BSIG va junto a la notificación según los art. 33 y 34 RGPD. Ambas pueden aplicarse al mismo incidente.

Duración

La duración no es un criterio por sí sola. Para los proveedores digitales que abarca el reglamento de ejecución, hay límites de tiempo por servicio, por ejemplo un servicio en la nube que no está disponible en absoluto durante más de 30 minutos (art. 7(a)).

En caso de duda, notifique pronto. El BSI quiere expresamente notificaciones tempranas, aunque todavía haya mucho sin aclarar. Las correcciones van en las notificaciones posteriores.

Más sobre esto

Los plazos

Tres notificaciones con plazos fijos, más dos que solo aparecen en ciertos casos. Los plazos son máximos: usted notifica sin demora indebida.

El reloj empieza con el conocimiento. Según el BSI, es el momento en que un empleado de su empresa se entera del incidente significativo en horario de trabajo.

1

Alerta temprana

24 horas

Un primer aviso al BSI, como máximo 24 horas después de tener conocimiento del incidente.

Si se sospecha que el incidente se debe a un acto ilícito o malintencionado
Si podría afectar a otros países
Una primera clasificación del incidente
Quién notifica y cómo puede contactar el BSI con esa persona

2

Notificación del incidente

72 horas

Como máximo 72 horas después de tener conocimiento del incidente. Confirma o actualiza la alerta temprana.

Una primera evaluación de la gravedad y del impacto
Indicios de los atacantes (indicadores de compromiso), si los hay
Lo que sabe sobre la causa
Lo que ha hecho y lo que todavía piensa hacer

3

Informe intermedio

A petición

Solo si el BSI lo pide: la situación actual.

Estado de la contención y de la recuperación
Nuevos datos sobre la causa, el alcance o el impacto

4

Informe final

1 mes después de la notificación

Como máximo un mes después de la notificación del plazo de 72 horas.

Una descripción detallada del incidente, con su gravedad y su impacto
El tipo de amenaza o la causa probable
Lo que ha hecho y lo que sigue haciendo
Si hay otros países afectados

5

Informe de situación

Si el incidente sigue en curso

Si el incidente sigue en curso al cabo de un mes, presenta un informe de situación en lugar del informe final. El informe final llega cuando el incidente se ha resuelto (§ 32(2) BSIG).

La situación actual
Lo que ha contenido hasta ahora

Un ejemplo

Una empresa inventada. Lunes, 9:00: contabilidad avisa a informática de que hay archivos cifrados en el servidor. La entrada de pedidos se ha parado.

Lunes, 9:30: informática confirma un ataque. Según el plan para incidentes, decide el gerente. Clasifica el incidente como significativo porque la actividad está gravemente perturbada.

Lunes, 14:00: la alerta temprana en el portal del BSI. Dice lo que se sabe y que se sospecha un ataque. El plazo habría vencido el martes a las 9:00.

Como muy tarde el jueves a las 9:00: la notificación, con una primera evaluación de la gravedad y del impacto.

Un mes después de esa notificación: el informe final con la causa y la solución. Si el incidente sigue en curso entonces, primero llega un informe de situación.

Al mismo tiempo, la empresa comprueba si hay datos personales afectados. Si es así, se aplica además la obligación de notificar del art. 33 RGPD.

Lo que va en la alerta temprana

El BSI enumera estos datos para la alerta temprana. El formulario del portal los pide.

Clasificación del incidente, motivo de la notificación y situación
Una descripción provisional: perturbación, impacto, duración prevista y causa sospechada
Cuándo ocurrió el incidente y cuándo lo detectó
Sectores y tipos de entidad afectados
Si se sospecha un ataque y si podrían verse afectados otros países
Lo que ha hecho hasta ahora y si el incidente está bajo control
Cómo puede contactar el BSI con la persona que notifica

La regla del BSI: rapidez antes que exhaustividad. Una notificación enviada no se puede retirar. Se corrige con una notificación de seguimiento.

Cómo lo hace el recorrido guiado

Dos pasos del recorrido guiado de nisd2.eu le preparan para notificar.

"Plan what happens in an incident": con sus respuestas se genera su plan de respuesta a incidentes. Dice quién decide y cómo notifica usted.

"Know how to report an incident": el paso muestra los tres plazos y un ejemplo de alerta temprana.

Usted anota si puede iniciar sesión en el portal del BSI y notificar.

Al final, la dirección aprueba el plan de respuesta a incidentes en la app.

Escriba su plan para incidentes en el recorrido guiado

Dónde notificar y quién notifica

Usted notifica al BSI, normalmente a través del portal del BSI.

Las notificaciones según el § 32 BSIG van al BSI, normalmente a través del portal del BSI. Si su empresa sufre un incidente significativo antes de haberse registrado, lo notifica mediante un formulario en el portal de notificación e información del BSI (MIP). Los operadores de instalaciones críticas y las autoridades federales siguen usando por ahora sus canales de notificación anteriores.

Puede notificar cualquier empleado con acceso al portal. Cada persona necesita su propio certificado de organización de ELSTER y debe estar asignada a su entidad en el portal. También puede encargar la notificación a un proveedor de servicios. La responsabilidad de la notificación sigue siendo suya.

Los operadores de instalaciones críticas notifican además el tipo de instalación, el servicio crítico y el impacto sobre él (§ 32(3) BSIG). Si hay datos personales afectados, puede hacer falta también una notificación a la autoridad de protección de datos.

Después de notificar

El BSI confirma la recepción sin demora indebida, si es posible en un plazo de 24 horas. Si usted lo pide, da orientación o asesoramiento (§ 36(1) BSIG).
El BSI puede ordenarle que informe del incidente a los destinatarios de sus servicios (§ 35(1) BSIG).
Cuente con preguntas de seguimiento. El BSI recomienda que sus avisos lleguen a alguien también fuera del horario laboral.

Lo que conviene preparar de antemano

Quién decide si un incidente es significativo y quién notifica.
El acceso al portal del BSI para esas personas: un certificado de organización para cada una y la asignación a su entidad.
Los números de teléfono de informática, de los proveedores de servicios y de la dirección, también en papel.
Un plan para incidentes que se pueda encontrar aunque los servidores estén caídos.

Fuentes

Ley del BSI (BSIG), § 2 n.º 11 y 40, §§ 32, 35 y 36 (gesetze-im-internet.de/bsig_2025)
Directiva (UE) 2022/2555 (NIS 2), art. 23 (eur-lex.europa.eu)
Reglamento de Ejecución (UE) 2024/2690, art. 3 y 7
BSI, obligación de notificar según NIS 2: plazos, contenido y canal (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, "Mein Unternehmenskonto": acceso al portal del BSI (bsi.bund.de/dok/muk)
Reglamento (UE) 2016/679 (RGPD), art. 33 y 34

En la práctica

Dónde aparece esto en el recorrido guiado

El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.

El recorrido está en alemán y en inglés.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.