Notificación de incidentes
Coordinación entre los países de la UE
La Directiva NIS 2 promueve la cooperación y la coordinación entre los países de la UE en materia de seguridad de la información, lo que exige que los Estados miembros:
- Adoptar estrategias de ciberseguridad
- Designar o establecer autoridades competentes
- Llame a las autoridades de gestión de crisis de ciberseguridad
- Proporcionar puntos de contacto únicos en materia de ciberseguridad
- Formar equipos de respuesta a incidentes de seguridad informática (CSIRT).
- Además, se han creado otras instituciones, como la Red Europea de Organizaciones de Enlace en Cibercrisis (EU-CYCLONe) y la Agencia Europea de Ciberseguridad (ENISA).
Obligaciones de notificación
Las entidades esenciales e importantes deben informar de inmediato a su CSIRT de referencia sobre los incidentes que tengan un impacto significativo. Impacto significativo significa:
- Ha causado o es probable que cause una interrupción operativa grave de los servicios o una pérdida económica a la entidad afectada
- Haya afectado o pueda afectar a otras personas físicas o jurídicas causándoles daños materiales o inmateriales de consideración.
En caso de que esto ocurra, la entidad deberá comunicarlo sin demora a su CSIRT de referencia (equipo de respuesta a incidentes de seguridad informática) o, en su caso, al competente. El procedimiento general será:
- Primera notificación al CSIRT, una alerta temprana dentro de las primeras 24 horas de tener conocimiento de ella.
- Se deberá enviar una notificación del incidente en un plazo máximo de 72 horas, actualizando la alerta y con una evaluación inicial indicando su gravedad e impacto, así como los IoC (indicadores de compromiso) cuando estén disponibles. Este plazo será de 24 horas para los prestadores de servicios de confianza.
- Las autoridades o el CSIRT podrán solicitar un informe provisional que contenga las actualizaciones pertinentes sobre la situación.
- Informe final, a más tardar un mes después de la presentación de la notificación del incidente, que deberá incluir los siguientes elementos:
- Descripción detallada del incidente, incluyendo su gravedad e impacto.
- El tipo de amenaza o causa raíz que probablemente desencadenó el incidente.
- Medidas paliativas aplicadas y en curso.
- En su caso, el impacto transfronterizo del incidente.
- Si el incidente aún está en curso en el momento de la presentación del informe final, los Estados miembros garantizarán que las entidades afectadas presenten un informe de situación en ese momento y un informe final en el plazo de un mes desde la tramitación del incidente.
Si se trata de un incidente transfronterizo o intersectorial, el CSIRT informará de forma oportuna y adecuada al punto de contacto único a nivel nacional, que será responsable de transmitir estas notificaciones a otros países o a otras autoridades de otros sectores.
