La Ley de ciberresiliencia de la UE impondrá nuevos requisitos de notificación

Las empresas que comercializan productos con conectividad en la Unión Europea deberán cumplir con nuevas y estrictas obligaciones de notificación bajo la Ley de Resiliencia Cibernética. Esta normativa exige que las organizaciones informen a una agencia específica sobre incidentes graves de seguridad o vulnerabilidades que estén siendo explotadas activamente, teniendo un plazo máximo de veinticuatro horas desde que tengan indicios razonables de que el evento ha ocurrido.

El proceso de reporte contempla diferentes fases y plazos posteriores. En un periodo de setenta y dos horas, que incluye a las primeras veinticuatro, los proveedores deben entregar una notificación más detallada con datos sobre la gravedad del problema y posibles medidas de mitigación. Posteriormente, una vez que la solución esté lista, se dispone de unas pocas semanas para enviar un reporte formal sobre la solución y de un mes para presentar un informe final completo.

Existen excepciones y consideraciones especiales dependiendo del tamaño de las compañías, quedando exentas de multas por incumplir el plazo de veinticuatro horas las microempresas y pequeñas empresas que cumplan con determinados límites de personal y facturación anual. Las organizaciones más grandes no cuentan con estas exenciones y se enfrentan a sanciones financieras significativas si no reportan los incidentes de manera adecuada.