Guía · Actualizada el 29 de octubre de 2026
Plazos de notificación de incidentes en España, 2026
RGPD, NIS2, DORA, el Reglamento de IA y el Reglamento de Ciberresiliencia tienen cada uno su propio reloj. A quién notificar en España, en qué plazo y qué cambiará cuando España apruebe su ley NIS2.
Por qué un incidente puede exigir varias notificaciones
En España es raro que solo aplique una norma. Un ransomware en una entidad de pagos puede obligar a notificar a la AEPD porque se han visto afectados datos de clientes, a informar al Banco de España por DORA porque ha caído un servicio crítico, y a avisar a INCIBE-CERT si además es operador de servicios esenciales. Cada reloj empieza en un momento distinto y cada autoridad pide un formulario diferente.
Los equipos que incumplen plazos suelen conocer las normas. Lo que les falta es una persona designada que decida, relojes que empiecen a tiempo y un registro escrito de por qué se decidió lo que se decidió.
RGPD: 72 horas para avisar a la AEPD
Una brecha de datos personales debe notificarse a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que se tiene conocimiento de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas (art. 33 RGPD). La notificación se hace en la sede electrónica de la AEPD. Si se presenta tarde, hay que justificar el retraso. Se puede notificar por fases: se envía lo que se sabe y después se actualiza.
Si es probable que la brecha suponga un riesgo alto para los afectados, también hay que comunicárselo a ellos sin dilación indebida (art. 34). Y toda brecha, se notifique o no, debe quedar documentada internamente (art. 33.5).
NIS2 en España: de momento, las normas anteriores
España no había publicado su ley NIS2, la Ley de Coordinación y Gobernanza de la Ciberseguridad, a octubre de 2026. El Gobierno aprobó el proyecto en enero de 2025, pero las Cortes se disolvieron el 6 de octubre de 2026 con elecciones generales el 29 de noviembre, así que es poco probable que la ley llegue antes de 2027.
Mientras tanto se aplican el Real Decreto-ley 12/2018 y el Real Decreto 43/2021. Los operadores de servicios esenciales y los proveedores de servicios digitales deben notificar los incidentes de impacto o peligrosidad crítica, muy alta o alta a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes, a su CSIRT de referencia: INCIBE-CERT en el sector privado y CCN-CERT en el sector público.
| Nivel (RD 43/2021) | Inicial | Intermedia | Final |
|---|---|---|---|
| Crítico | Inmediata | 24/48 h | 20 días |
| Muy alto | Inmediata | 72 h | 40 días |
| Alto | Inmediata | No aplica | No aplica |
La notificación inicial cuenta desde el conocimiento del incidente. La intermedia y la final cuentan desde el envío de la inicial.
Cuando llegue la ley NIS2, cabe esperar el mínimo de la UE: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final un mes después, para un grupo mucho más amplio de entidades "esenciales" e "importantes". Si opera en otros países de la UE, revise ya sus leyes nacionales: varios transpusieron NIS2 antes y ya aplican los plazos de 24 y 72 horas.
DORA: el reloj más rápido para el sector financiero
Bancos, entidades de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras y la mayoría de entidades financieras de la UE deben notificar los incidentes graves relacionados con las TIC según DORA. En España la notificación va a su supervisor: Banco de España, CNMV o la Dirección General de Seguros y Fondos de Pensiones.
- Notificación inicial: en las 4 horas siguientes a clasificar el incidente como grave, y nunca más de 24 horas después de conocerlo.
- Informe intermedio: en las 72 horas siguientes a la notificación inicial.
- Informe final: en el mes siguiente al último informe intermedio.
Un incidente es grave si afecta a servicios críticos y supera dos o más umbrales de importancia (clientes, reputación, duración, extensión geográfica, datos, impacto económico), o si implica un acceso malicioso no autorizado que pueda causar pérdida de datos. Los incidentes con la misma causa raíz que se repiten dos veces en seis meses pueden computarse juntos.
Reglamento de IA: incidentes graves con IA de alto riesgo
Los proveedores de sistemas de IA de alto riesgo deben notificar los incidentes graves a la autoridad de vigilancia del mercado del país donde ocurrieron (art. 73). En España es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, o una autoridad sectorial en algunos casos. La AESIA ha publicado una guía sobre la notificación de incidentes graves.
- 15 días desde que se establece la relación causal, como regla general.
- 10 días si una persona puede haber fallecido.
- 2 días si hay una infracción generalizada o una perturbación grave de infraestructuras críticas.
El Ómnibus Digital sobre IA, en vigor desde el 27 de julio de 2026, retrasó la mayoría de obligaciones de alto riesgo al 2 de diciembre de 2027 (sistemas del anexo III) y al 2 de agosto de 2028 (IA en productos regulados). Si el art. 73 ya se aplica antes de esas fechas es una cuestión discutida. Los responsables del despliegue tienen una obligación más sencilla: informar al proveedor de inmediato (art. 26).
Reglamento de Ciberresiliencia: notificaciones desde el 11 de septiembre de 2026
Los fabricantes de productos de hardware y software que se venden en la UE deben notificar las vulnerabilidades explotadas activamente y los incidentes graves de seguridad a través de la Plataforma Única de Notificación de ENISA, que los remite al CSIRT coordinador. Alerta temprana en 24 horas, notificación en 72 horas e informe final 14 días después de que haya una corrección (vulnerabilidades) o un mes después de la notificación (incidentes). El resto del reglamento se aplica desde el 11 de diciembre de 2027.
Un ejemplo práctico
Una entidad de pagos de Madrid detecta un ransomware el lunes a las 09:00. En un servidor afectado había nombres e IBAN de clientes. Su servicio de autorización de tarjetas está caído. La supervisa el Banco de España.
| Notificación | Regla | Plazo |
|---|---|---|
| DORA, notificación inicial (clasificado como grave a las 10:30) | 4 h tras la clasificación | Lunes 14:30 |
| RGPD, notificación a la AEPD | 72 h desde el conocimiento | Jueves 09:00 |
| DORA, informe intermedio (inicial enviada a las 13:00) | 72 h tras la inicial | Jueves 13:00 |
| Cartas a los clientes afectados | Sin dilación indebida (riesgo alto: IBAN) | En cuanto sea posible |
| DORA, informe final | 1 mes tras el último intermedio | Aproximadamente un mes después |
Tres autoridades, tres formularios, y el primer plazo vence en cinco horas y media. Por eso la decisión hay que tomarla en la primera hora, no al terminar la investigación.
Lista de comprobación en 5 puntos
- Designe a un responsable de la decisión de notificar y a un suplente, localizables 24/7.
- Mantenga un registro de una página con las normas que le aplican y cómo se presenta cada notificación.
- Ponga en marcha todos los relojes posibles desde el conocimiento. Trate el "no lo sé" como un "sí" hasta descartarlo.
- Redacte todas las notificaciones a partir de una única ficha de hechos para que los datos coincidan.
- Registre cada decisión, también la de no notificar, con los hechos conocidos en ese momento.
Descarga gratuita (en inglés)
Incident Reporting Clocks 2026
Todos los plazos de esta guía en una página para imprimir.
Regulatory Incident Reporting Kit · 199 €
Conviértalo en un proceso que funciona
Una hoja de cálculo de plazos, un manual con roles y un triaje de 60 minutos, y plantillas para cada norma. Material en inglés.
Preguntas frecuentes
¿Se aplica ya NIS2 en España?
No directamente. NIS2 es una directiva y necesita una ley nacional. España no la había publicado a octubre de 2026, así que la notificación de incidentes de servicios esenciales y proveedores de servicios digitales sigue regida por el RD-ley 12/2018 y el RD 43/2021.
¿Cuándo empiezan a contar las 72 horas del RGPD?
Desde que se tiene conocimiento de la brecha: cuando hay un grado razonable de certeza de que un incidente de seguridad ha afectado a datos personales. No hace falta saberlo todo para notificar; se pueden enviar actualizaciones.
¿A quién se notifica un ciberincidente en España?
Los operadores privados notifican a INCIBE-CERT y el sector público a CCN-CERT, a través de la plataforma nacional de notificación. Las brechas de datos personales se notifican por separado a la AEPD. Las entidades financieras además notifican a su supervisor según DORA.
¿Hay que notificar si el incidente resultó ser menor?
Puede que no, pero deje constancia de la decisión. El RGPD obliga a documentar toda brecha de datos personales, también las no notificadas, y una justificación por escrito le protege si un regulador pregunta después.