La Ley de ciberresiliencia de la UE impondrá nuevos requisitos de notificación

Las em­pre­sas que co­mer­cia­li­zan pro­duc­tos con co­nec­ti­vi­dad en la Unión Eu­ro­pea de­be­rán cum­plir con nue­vas y es­tric­tas obli­ga­cio­nes de no­ti­fi­ca­ción bajo la Ley de Re­si­lien­cia Ci­ber­né­ti­ca. Esta nor­ma­ti­va exige que las or­ga­ni­za­cio­nes in­for­men a una agen­cia es­pe­cí­fi­ca sobre in­ci­den­tes gra­ves de se­gu­ri­dad o vul­ne­ra­bi­li­da­des que estén sien­do ex­plo­ta­das ac­ti­va­men­te, te­nien­do un plazo má­xi­mo de vein­ti­cua­tro horas desde que ten­gan in­di­cios ra­zo­na­bles de que el even­to ha ocu­rri­do.

El pro­ce­so de re­por­te con­tem­pla di­fe­ren­tes fases y pla­zos pos­te­rio­res. En un pe­rio­do de se­ten­ta y dos horas, que in­clu­ye a las pri­me­ras vein­ti­cua­tro, los pro­vee­do­res deben en­tre­gar una no­ti­fi­ca­ción más de­ta­lla­da con datos sobre la gra­ve­dad del pro­ble­ma y po­si­bles me­di­das de mi­ti­ga­ción. Pos­te­rior­men­te, una vez que la so­lu­ción esté lista, se dis­po­ne de unas pocas se­ma­nas para en­viar un re­por­te for­mal sobre la so­lu­ción y de un mes para pre­sen­tar un in­for­me final com­ple­to.

Exis­ten ex­cep­cio­nes y con­si­de­ra­cio­nes es­pe­cia­les de­pen­dien­do del ta­ma­ño de las com­pa­ñías, que­dan­do exen­tas de mul­tas por in­cum­plir el plazo de vein­ti­cua­tro horas las mi­cro­em­pre­sas y pe­que­ñas em­pre­sas que cum­plan con de­ter­mi­na­dos lí­mi­tes de per­so­nal y fac­tu­ra­ción anual. Las or­ga­ni­za­cio­nes más gran­des no cuen­tan con estas exen­cio­nes y se en­fren­tan a san­cio­nes fi­nan­cie­ras sig­ni­fi­ca­ti­vas si no re­por­tan los in­ci­den­tes de ma­ne­ra ade­cua­da.