Notificación de incidente

Casi todas las normas europeas recientes usan la misma estructura escalonada. La NIS2 exige alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes desde la notificación. El CRA replica esos plazos para vulnerabilidades explotadas activamente e incidentes graves de producto. DORA aprieta más: notificación inicial en cuatro horas desde la clasificación del incidente como grave y nunca más de 24 horas desde que se tuvo conocimiento.

El punto de fallo casi nunca es notificar, es el cómputo. El reloj no empieza cuando se declara la crisis ni cuando se reúne el comité, sino cuando la entidad tiene conocimiento del incidente, o cuando lo clasifica, según la norma.

Por eso la evidencia decisiva no es el acuse de recibo del CSIRT, aunque haga falta: es el registro interno que fija con hora exacta ese instante de partida y el criterio escrito con el que se determinó.