Una brecha de seguridad destruye, pierde, altera o expone datos personales sin autorización. El reloj de las 72 horas no empieza cuando se cierra el incidente, empieza cuando tu organización tiene constancia razonable de que ha ocurrido. Esa distinción es la que decide si la notificación llega a tiempo. Esta guía ordena los plazos, las autoridades y las obligaciones vigentes en España en 2026, incluido el estado real de NIS2.
Lo esencial
- El artículo 33 del RGPD obliga a notificar a la AEPD en un plazo máximo de 72 horas desde que tienes constancia de la brecha, salvo que sea improbable que suponga un riesgo para los derechos de las personas.
- El artículo 34 obliga a comunicarlo a las personas afectadas sin dilación indebida cuando el riesgo es alto.
- La AEPD recibió 2.765 notificaciones de brechas de datos personales en 2025, el 80 por ciento del sector privado (Memoria AEPD 2025).
- Incumplir los artículos 33 y 34 puede sancionarse con hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual global, la cifra que sea mayor.
- NIS2 añade un segundo circuito de notificación con plazos de 24 horas, 72 horas y un mes, pero a octubre de 2026 la ley española que la traspone sigue sin publicarse en el BOE.
- Registrar internamente todas las brechas es obligatorio, incluidas las que no se notifican.
¿Qué se considera una brecha de seguridad?
El RGPD la define como una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos. La definición es deliberadamente amplia y cubre tres tipos de impacto que conviene nombrar por separado, porque las medidas de respuesta son distintas:
- Brecha de confidencialidad: alguien accede a los datos sin estar autorizado. El caso típico es la exfiltración tras una intrusión o un correo enviado al destinatario equivocado.
- Brecha de integridad: los datos se alteran de forma no autorizada y dejan de ser fiables.
- Brecha de disponibilidad: los datos se pierden o quedan inaccesibles. Un cifrado por ransomware sin copia de seguridad recuperable es una brecha de disponibilidad aunque nadie se haya llevado la información.
Dos equivocaciones habituales. La primera es pensar que solo hay brecha si hay ataque: un disco perdido, un borrado accidental o un error de configuración también lo son. La segunda es creer que solo cuenta si los datos salieron de la organización: un acceso interno indebido es una brecha de confidencialidad en toda regla.
¿Cuándo empiezan a contar las 72 horas?
Cuentan desde que el responsable del tratamiento tiene constancia de la brecha, no desde que la contiene ni desde que termina de investigarla. Se entiende que hay constancia cuando existe un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido datos personales, aunque todavía no se conozca su alcance.
Esto tiene una consecuencia práctica que mucha organización descubre tarde: la notificación inicial no requiere tener todas las respuestas. El propio artículo 33 permite facilitar la información por fases cuando no es posible aportarla toda de una vez. Es preferible una notificación en plazo con datos parciales y un compromiso de ampliación que una notificación completa a las 96 horas.
El punto crítico suele estar antes del reloj: si el aviso llega de un empleado que no sabe a quién escribir, se pierden días antes de que empiecen a contar las 72 horas. Ahí es donde un procedimiento formal de gestión de incidentes marca la diferencia, y es el motivo por el que recomendamos tener implantado un sistema de gestión de incidentes de protección de datos antes de necesitarlo.
¿A quién hay que notificar una brecha de seguridad?
Depende de qué se haya visto afectado y de qué tipo de entidad seas. Este es el mapa de 2026:
| Supuesto | Destinatario | Plazo | Norma |
|---|---|---|---|
| Brecha con datos personales y riesgo para los derechos | AEPD (o autoridad autonómica competente) | 72 horas desde la constancia | RGPD art. 33 |
| Brecha con riesgo alto para los afectados | Personas afectadas | Sin dilación indebida | RGPD art. 34 |
| Brecha sin riesgo | Nadie, pero registro interno obligatorio | Inmediato | RGPD art. 33.5 |
| Encargado que detecta la brecha | Su responsable del tratamiento | Sin dilación indebida | RGPD art. 33.2 |
| Incidente significativo en entidad sujeta a NIS2 | Autoridad competente, alerta temprana y notificación | 24 horas, 72 horas e informe final en un mes | Directiva (UE) 2022/2555 |
| Incidente en sistema del sector público | Autoridad y CCN-CERT según categoría | Según el nivel del sistema | Real Decreto 311/2022 (ENS) |
La notificación a la AEPD se presenta por su sede electrónica. La Agencia pone a disposición herramientas de apoyo para decidir si procede notificar y para preparar la comunicación, útiles precisamente en las primeras horas, cuando falta información.
¿Qué pasa si la brecha afecta a un proveedor?
La obligación de notificar a la autoridad recae en el responsable del tratamiento, no en el encargado. Si la brecha ocurre en los sistemas de un proveedor que trata datos por cuenta tuya, él debe avisarte sin dilación indebida y tú notificas a la AEPD. No puedes trasladarle esa obligación por contrato.
De ahí dos consecuencias para la gestión de proveedores. El contrato de encargo debe fijar un plazo interno de aviso expresado en horas, no en días, porque tu plazo de 72 horas corre con independencia de lo que tarde él en llamarte. Y conviene verificar que ese plazo es real: un proveedor que descubre la brecha un viernes y avisa el lunes te ha consumido el margen completo.
¿Qué añade NIS2 y qué está en vigor hoy en España?
NIS2, la Directiva (UE) 2022/2555, crea un circuito de notificación distinto del del RGPD. No sustituye al RGPD: se suma. Mientras el RGPD protege datos personales, NIS2 protege la continuidad del servicio, de modo que un mismo incidente puede exigir dos notificaciones a dos autoridades con dos plazos.
Sus plazos son escalonados: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes.
El dato que conviene tener claro en octubre de 2026 es el estado de la transposición. El plazo que fijaba la directiva para los Estados miembros vencía el 17 de octubre de 2024. España no lo cumplió. El Consejo de Ministros aprobó el proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, la Comisión Europea emitió dictamen motivado en mayo de 2025 y en julio de 2026 remitió a España al Tribunal de Justicia de la Unión Europea. A día de hoy la ley no está publicada en el BOE.
Qué significa esto para tu empresa, sin alarmismo y sin falsa tranquilidad. La directiva obliga al Estado, no directamente a las empresas, así que las obligaciones específicas de NIS2 no son exigibles hasta que exista norma española. Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018, la transposición de NIS1, a las entidades designadas bajo ese marco. Lo que no cambia es el RGPD, que se aplica desde 2018 sin depender de nada de esto. Y lo sensato es preparar el circuito de 24 horas ahora: cuando la ley se publique, los plazos serán los de la directiva y no habrá periodo de gracia para montar un procedimiento desde cero. El contexto completo de obligaciones de seguridad para el sector público lo tratamos en la guía del Esquema Nacional de Seguridad.
¿Qué sanciones conlleva gestionar mal una brecha?
Los artículos 33 y 34 del RGPD están dentro del grupo de infracciones del artículo 83.4, con un máximo de 10 millones de euros o el 2 por ciento del volumen de negocio total anual global del ejercicio anterior, la cuantía que resulte mayor.
Conviene entender qué se sanciona realmente. En la práctica el expediente rara vez castiga el hecho de sufrir una brecha, que puede ocurrirle a cualquier organización diligente. Castiga tres cosas: no notificar cuando procedía, notificar fuera de plazo sin justificación, y la ausencia de medidas técnicas y organizativas razonables que el incidente deja a la vista. La brecha es el disparador de la inspección; lo que se mira después es el nivel de madurez que había antes.
El dato de la Memoria de la AEPD de 2025 lo confirma: de las 2.765 notificaciones recibidas, solo once se derivaron a investigación adicional, en casos de alta gravedad donde se sospechaba que la respuesta había sido inadecuada. Notificar no abre un expediente por defecto. No notificar, cuando la brecha sale a la luz por otra vía, sí.
¿Cómo se prepara una organización antes de la brecha?
Lo que decide el resultado se construye antes. Cinco elementos, por orden de impacto:
- Un canal interno único de aviso, conocido por toda la plantilla, con un responsable identificado y cobertura fuera del horario de oficina.
- Un registro de brechas operativo, con las que se notifican y las que no, porque es exigible según el artículo 33.5 y es lo primero que pide una inspección.
- Una evaluación de riesgo previa de los tratamientos de mayor exposición. Si ya has hecho la evaluación de impacto en protección de datos, buena parte del análisis de gravedad está hecho.
- Copias de seguridad probadas con restauración real, no solo programadas. Es lo que convierte un ransomware en una incidencia operativa en lugar de una brecha de disponibilidad notificable.
- Cláusulas de aviso en horas en todos los contratos de encargo de tratamiento.
Si estás revisando el marco completo, el punto de partida es nuestra página de protección de datos.
Preguntas frecuentes sobre brechas de seguridad
¿Hay que notificar todas las brechas de seguridad a la AEPD?
No. Solo aquellas en las que no sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas. Las que no se notifican sí deben quedar documentadas en el registro interno de brechas, con el motivo de la decisión.
¿Qué ocurre si notifico después de las 72 horas?
La notificación tardía debe ir acompañada de la indicación de los motivos del retraso. Notificar fuera de plazo con una justificación razonada es mejor que no notificar. El retraso injustificado es, en sí mismo, una infracción del artículo 33.
¿Un ataque de ransomware es siempre una brecha notificable?
No siempre, pero casi siempre lo es. Si los datos quedan cifrados y no hay copia de seguridad recuperable, hay brecha de disponibilidad. Si además hubo exfiltración, hay brecha de confidencialidad. Solo quedaría fuera un caso con restauración inmediata, sin acceso a los datos y sin impacto para los afectados.
¿Hay que avisar a los afectados en todos los casos?
Solo cuando la brecha entrañe un riesgo alto para sus derechos y libertades. El aviso debe ser claro, explicar la naturaleza de la brecha, las posibles consecuencias y las medidas recomendadas. En 2025 las organizaciones emitieron más de 200 millones de avisos por existencia de alto riesgo en España.
¿Qué diferencia hay entre una brecha del RGPD y un incidente de NIS2?
El RGPD se activa cuando se ven afectados datos personales y su autoridad es la AEPD. NIS2 se activa cuando se ve afectada la continuidad de un servicio esencial o importante, con su propia autoridad y plazos de 24 horas, 72 horas y un mes. Un mismo incidente puede exigir las dos notificaciones.
¿Quién debe firmar la notificación a la AEPD?
La presenta el responsable del tratamiento. Si existe delegado de protección de datos, es su interlocutor natural con la Agencia y debe constar como contacto en la notificación, aunque la responsabilidad sigue siendo de la entidad.
Conclusión
Las 72 horas se ganan o se pierden en los días anteriores a la brecha. Una organización con canal de aviso, registro operativo y copias probadas notifica en plazo con información parcial y gestiona el incidente. Una que empiece a decidir quién avisa a quién el mismo día del incidente llegará tarde, y es ese retraso, no la brecha, lo que acaba en el expediente.
Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Última actualización: 13 de octubre de 2026.
