Qué significa realmente 'sin demora indebida' en el reloj de 24 horas de NIS 2
El Art. 23(4)(a) NIS 2 tiene dos temporizadores, no uno. Conocer la diferencia es la diferencia entre defender una alerta temprana puntual y enfrentarse a una multa evitable del §65 BSIG.
Por qué importa la redacción
El Art. 23(4)(a) NIS 2 dice que la alerta temprana debe presentarse 'sin demora indebida y en cualquier caso dentro de las 24 horas' siguientes a tener conocimiento de un incidente significativo. Dos temporizadores, no uno. La cifra de 24 horas es un tope rígido; el deber operativo es la primera expresión.
En la práctica esto significa: una notificación que llega en la hora 23 todavía puede llegar tarde si la entidad razonablemente habría podido presentarla en la hora 4. 'Razonablemente' es lo que los auditores comprueban en retrospectiva.
Quienes lo leen por primera vez se fijan en la cifra de 24 horas y pasan por alto la estructura legal. Comprender ambos relojes es la defensa más barata que puedes preparar de antemano ante un incidente.
Art. 23(4)(a) NIS 2
Where applicable, an early warning, which, without undue delay and in any event within 24 hours of becoming aware of the significant incident, shall indicate whether the significant incident is suspected of being caused by unlawful or malicious acts or could have a cross-border impact.
Dos temporizadores nombrados explícitamente en la misma frase. 'Sin demora indebida' es el deber operativo; '24 horas' es el límite externo. El conocimiento, no la detección, es el desencadenante.
§32(1) Nr. 1 BSIG
Wesentliche und wichtige Einrichtungen melden dem Bundesamt erhebliche Sicherheitsvorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung als frühe Erstmeldung.
La transposición alemana usa 'unverzüglich' para 'sin demora indebida'. 'Unverzüglich' es un término jurídico definido en el §121(1) BGB, a saber 'ohne schuldhaftes Zögern', sin demora culpable. Esa definición importa todo un cuerpo de jurisprudencia alemana al deber de notificación de NIS 2.
Considerando 102 NIS 2 (contexto)
In order to determine the reporting obligations, the timeline of the notification and the format of the notification, the assessment of the impact of the incident should be considered.
El considerando 102 es la pista interpretativa: el momento de la notificación no es ajeno a la evaluación razonable de la entidad. No se espera que presentes antes de tener la información; se espera que presentes tan pronto como razonablemente puedas.
Reloj 1: sin demora indebida
El deber operativo. La entidad debe notificar tan pronto como razonablemente pueda tras tener conocimiento. 'Razonable' deja tiempo para confirmar los hechos y escalar internamente; no permite agrupar por conveniencia ni esperar a que empiece la jornada laboral.
Reloj 2: en cualquier caso dentro de 24 horas
El tope rígido. Sea lo que sea lo que 'razonable' significara en el caso, la alerta temprana no puede ser posterior a 24 horas tras el conocimiento. Pasado ese punto, la entidad está incumpliendo incluso con una justificación perfecta.
Desencadenante: el conocimiento
No la detección técnica. El conocimiento en términos jurídicos es cuando la entidad, actuando razonablemente, sabía o debería haber sabido. Una alerta de un SIEM sin leer en una cola puede contar ya como conocimiento de la entidad si un SOC que operara razonablemente la habría leído.
Permitido: tiempo para confirmar
No tienes que presentar antes de tener información significativa. Unas pocas horas para triar, confirmar el alcance y descartar falsos positivos son razonables. La directiva no penaliza la verificación responsable.
Permitido: tiempo para escalar
La escalada interna a través de la cadena de respuesta a incidentes, con la aprobación del responsable de notificación designado, forma parte del debido proceso normal. Una escalada de dos horas en horario laboral es razonable; una espera de 20 horas a que el CEO aterrice de vacaciones no lo es.
No permitido: agrupar por conveniencia
Esperar para combinar varios incidentes sospechosos, esperar al horario de oficina cuando el incidente ocurrió a las 22:00, esperar a que cuaje una estrategia de prensa. Ninguna de estas son razones que sobrevivan a una auditoría. 'Unverzüglich' tolera la verificación, no la demora por conveniencia propia de la entidad.
14:00: el SOC detecta actividad de cifrado en un servidor de archivos
Detección técnica. Todavía no es conocimiento jurídico si el SOC está investigando. La entidad está advertida pero no ha formado un juicio de que el incidente sea significativo.
15:30: el incidente se confirma como ransomware, alcance parcialmente claro
El conocimiento surge ahora, a más tardar. Ambos relojes empiezan. El límite externo de 24 horas termina a las 15:30 del día siguiente. El deber de 'sin demora indebida' se activa de inmediato.
16:45: alerta temprana enviada
75 minutos después de la confirmación. 'Sin demora indebida' defendible si la entidad utilizó el tiempo para verificar y para escalar internamente al responsable de notificación designado. La notificación incluye los dos elementos de contenido obligatorios del Art. 23(4)(a): sospecha de causa maliciosa y evaluación del impacto transfronterizo.
Cuando el BSI o una autoridad nacional competente audita un incidente en retrospectiva, el documento de interés es el propio registro cronológico de la entidad. Se esperan tres columnas: hora del evento, qué se sabía en ese momento, qué acción se tomó.
La auditoría hace una sola pregunta: en cada punto de la cronología, ¿era razonable el siguiente paso dado lo que se sabía? Un registro limpio con acciones conservadoras defiende el momento de la notificación. Un registro escaso invita al auditor a suponer lo peor.
- Directiva (UE) 2022/2555 (NIS 2), Art. 23(4)(a), Considerando 102, www.eur-lex.europa.eu
- Ley sobre la Oficina Federal de Seguridad de la Información (BSIG), §32, www.gesetze-im-internet.de
- Bürgerliches Gesetzbuch (BGB), §121(1): definición de 'unverzüglich'
- ENISA Technical Implementation Guidance v1.0 (junio de 2025), §5 sobre la documentación de la cronología de incidentes
Esta página proporciona orientación estructurada basada en fuentes de acceso público (Directiva NIS 2, BSIG, BGB, ENISA TIG). No constituye asesoramiento jurídico en el sentido del §2 RDG. Si una demora concreta es 'indebida' en un caso particular es una cuestión jurídica para un abogado colegiado. A fecha de 2026-06-04.